Беспилотники на дорогах России
(уголовно-правовые проблемы)

Монография

Под редакцией  
доктора юридических наук, профессора 
А. И. Чучаева

ebooks@prospekt.org

Информация о книге

УДК 343.2/.7

ББК 67.408я73

Б53

Авторы:
Воробьев А. И., кандидат технических наук, доцент, заместитель заведующего кафедрой «Организация и безопасность движения» Московского автомобильно-дорожного государственного университета (МАДИ);
Жанказиев С. В., доктор технических наук, профессор, заведующий кафедрой «Организация и безопасность движения» Московского автомобильно-дорожного государственного университета (МАДИ);
Иванов С. А., руководитель подразделения информационной безопасности компании «Первый Бит»;
Коробеев А. И., доктор юридических наук, профессор, заведующий кафедрой уголовного права и криминологии Дальневосточного федерального университета, заслуженный деятель науки РФ;
Маликов С. В., кандидат юридических наук, доцент Московского государственного юридического университета имени О. Е. Кутафина (МГЮА);
Чучаев А. И., доктор юридических наук, профессор Московского государственного юридического университета имени О. Е. Кутафина (МГЮА).

Впервые в российской уголовно-правовой литературе исследуются проблемы ответственности за причинение вреда в результате дорожно-транспортного происшествия с участием высокоавтоматизированного автотранспортного средства. Дана характеристика беспилотника, показаны особенности механизма нарушения безопасности, при этом особое внимание уделено роли информационных угроз в его аварийности (представлена модель угроз безопасности информационной системы «высокоавтоматизированное транспортное средство – дорожная инфраструктура»), рассмотрены общие и специальные вопросы криминализации и пенализации нарушений правил безопасности функционирования робомобилей, показан опыт решения аналогичных вопросов в зарубежных странах.

Законодательство приведено по состоянию на 1 августа 2020 г.

Для специалистов в области уголовного права, а также всех тех, кто интересуется проблемами противодействия аварийности на дорогах средствами уголовного права.

Исследование выполнено при финансовой поддержке РФФИ в рамках научного проекта № 18-29-16162.

УДК 343.2/.7

ББК 67.408

© Коллектив авторов, 2020

© ООО «Проспект», 2020

Перечень сокращений и обозначений

АВЗ – антивирусная защита

АРМ – автоматизированное рабочее место

АС – автоматизированная система

АСВ – автоматизированная система вождения

АСУ – автоматизированная система управления

АУД – аудит безопасности

БДД – безопасность дорожного движения

ВАТС – высоко- или полностью автоматизированное транспортное средство

ГЛОНАСС – глобальная навигационная спутниковая система

ГНСС – глобальные навигационные спутниковые системы

ДИ – дорожная инфраструктура

ДНС – обеспечение действий в нештатных ситуациях

ДТП – дорожно-транспортное происшествие

ДТС – дорожно-транспортная ситуация

ЗИС – защита информационной (автоматизированной) системы и ее компонентов

ЗНИ – защита машинных носителей информации

ЗТС – защита технических средств и систем

ИАФ – идентификация и аутентификация

ИНЦ – реагирование на инциденты информационной безопасности

ИПО – информирование и обучение персонала

ИС – информационная система

ИС «ВАТС — ДИ» – информационная система высоко- или полностью автоматизированное транспортное средство — дорожная инфраструктура

ИСПДн – информационная система персональных данных

ИТС – интеллектуальная транспортная система

КИ – конфиденциальная информация

К-ИТС – кооперативная интеллектуальная транспортная система

НСД – несанкционированный доступ к информации

ОДТ – обеспечение доступности

ОПО — управление обновлениями программного обеспечения

ОЦЛ – обеспечение целостности

ПДн – персональные данные

ПДД – правила дорожного движения

ПЛН – планирование мероприятий по обеспечению безопасности

ПО – программное обеспечение

ПЭМИН – угроза утечки информации по каналам побочных электромагнитных излучений и наводок

СВПД – система высокоточного позиционирования дороги

СВТ – средства вычислительной техники

СЗИ – средство защиты информации

СОВ – предотвращение вторжений (компьютерных атак)

СШЭ – среда штатной эксплуатации

ТП – технологическая платформа

ТП «ВАТС — ДИ» – технологическая платформа высоко- или полностью автоматизированное транспортное средство — дорожная инфраструктура

ТС – транспортное средство

УБИ – угроза безопасности информации

УБПДн – угрозы безопасности персональных данных

УКИТК – угрозы компрометации информации по техническим каналам

УКФ – управление конфигурацией

УПД – управление доступом

ФСТЭК – Федеральная служба по техническому и экспортному контролю

ЧМИ – человеко-машинный интерфейс

ЧП – чрезвычайное происшествие

ЦМД – цифровая модель дороги

ЦОД – центр обработки данных

ADAS – Advanced Driver-Assistance Systems, усовершенствованные системы помощи водителю

OBU – On-Board Unit, бортовое устройство транспортного средства, обеспечивающее поддержку связи с другими OBU или RSU

RSU – Road Side Unit, устройство дорожной инфраструктуры, обеспечивающее поддержку связи с проезжающими транспортными средствами

Введение

С 2015 г. в России активно развиваются технологии, необходимые для создания беспилотных автомобилей. Так, российская компания КамАЗ в рамках программы «Автонет»¹ подготовила прототип модели беспилотного автомобиля². Первый публичный тест-драйв беспилотного КамАЗа состоялся в Набережных Челнах 27 октября 2015 г. Машина самостоятельно выполнила «змейки», развороты и останавливалась перед пешеходами.

Среди российских автомобилестроителей разработкой беспилотного транспортного средства занимается и Горьковский автомобильный завод (ГАЗ). В 2010 г. компания начала участвовать в программе «Робототехника», а с 2018 г. приступила к тестированию в условиях городского движения автобуса ГАЗель NEXT³.

22 июня 2018 г. беспилотный автомобиль «Яндекса» совершил первую большую поездку из Москвы в Казань. Преодолев 780 км, машина в пути находилась 11 часов (в дневное и ночное время), при этом 99% времени двигалась в автоматическом режиме, соблюдая все скоростные ограничения.

В 2018 г. в «Сколково» запустили опытную зону для поездок на беспилотном общественном транспорте. Условия управления им приближены к тем, что есть на дорогах общего использования. Специалисты полагают, что первыми на улицах Москвы появятся беспилотные автобусы, а потом — такси. Это, скорее всего, будет смартбас, разработанный одной из российских компаний⁴.

Будущее автономных автомобилей в России зависит от ряда факторов, в том числе от развития дорожной сети, ее адаптации к «умным автомобилям», особенно в регионах. Если для таких транспортных средств не подготовить соответствующие дороги, то спроса на них, как считают специалисты, не будет⁵. В связи с этим в Стратегии развития автомобильной промышленности Российской Федерации на период до 2025 г., утвержденной распоряжением Правительства РФ от 28 апреля 2018 г. № 831-р⁶, подчеркивается, что «особую значимость для успешного развития беспилотного (автономного) транспорта приобретет усовершенствование и создание новой дорожной и информационно-телекоммуникационной инфраструктуры, обеспечивающих беспилотные (автономные, самоуправляемые) транспортные средства необходимыми сервисами и информацией».

На автомобильных дорогах общего пользования существует сложная динамическая система, включающая в себя совокупность элементов, функционирующих в определенной среде — человек, транспортное средство, дорога. Эти элементы единой дорожно-транспортной системы находятся в определенных отношениях и связях друг с другом, они формируют факторы риска, которые могут привести к дорожно-транспортному происшествию (ДТП). Высоко- и полностью автоматизированные транспортные средства (ВАТС), функционирующие в беспилотном режиме (БПТС), должны поэтапно включаться в уже сложившуюся транспортную систему, не подвергая опасности других участников дорожного движения и обеспечивая полное соблюдение установленных правил дорожного движения.

ВАТС появляются и развиваются не отдельно, а как закономерный этап развития технологий интеллектуальных транспортных систем (ИТС) (рис. 1). Беспилотные транспортные средства опираются на базовые технологии, включающие в себя элементы ИТС, которые уже используются на дороге. В дальнейшем при внедрении ВАТС отдельные компоненты этих ИТС трансформируются в цифровую модель дороги (ЦМД). Психофизиология, которая была при ручном управлении, также развивается и трансформируется. Надо отметить, что чем более система автоматизирована, тем больше знаний о психофизиологии участников дорожного движения необходимо знать. Вопросы транспортного планирования и имитационного моделирования также преобразуются при внедрении ВАТС.

Рис. 1. Стратегия развития автономных транспортных систем

Принципиальные подходы к обеспечению безопасного взаимодействия БПТС с другими участниками дорожного движения включают ключевые компоненты:

— безопасность через обеспечение ситуационной осведомленности БПТС путем максимального использования возможностей дорожно-транспортной инфраструктуры и всестороннего риск-менеджмента;

— безопасность через последовательное наращивание возможностей БПТС с учетом результатов, полученных при их опытной эксплуатации.

Первый компонент подразумевает многообразие и избыточность компонентов обеспечения безопасности транспортного средства, что позволяет минимизировать возможные риски за счет одновременного использования возможностей различных подходов и технологий, в том числе реализации преимуществ сетевого взаимодействия между транспортным средством и его окружением в формате V2X. Организация сетевого взаимодействия V2X является важным средством увеличения объема и качества информации, получаемой транспортным средством, повышения его ситуационной осведомленности, что особенно важно для обеспечения безопасности беспилотного движения в транспортном потоке.

Второй компонент предполагает постоянное совершенствование конструкции ВАТС и критически важных для его работы компонентов, поэтапное повышение его функциональных возможностей с целью обеспечения безопасного взаимодействия с участниками дорожного движения на всех уровнях автоматизации. Переоценка водителем возможностей систем частичной и условной автоматизации уже явилась причиной нескольких ДТП со смертельным исходом. Снижая вовлеченность водителя в процесс управления, системы автоматизации провоцируют его переключить внимание на другие действия (чтение, просмотр различного контента, общение с пассажирами или по телефону, сон и т. д.). Необходимо обеспечить либо постоянную вовлеченность водителя, либо полностью освободить его от задач управления, что может быть достигнуто уже в настоящее время при поддержке дорожной инфраструктуры.

Безопасному движению транспортного потока, в котором имеются ВАТС, движущиеся в беспилотном режиме, должны способствовать следующие принципы организации дорожного движения:

— разделение потоков в пространстве;

— разделение потоков во времени;

— оптимизация скоростного режима;

— формирование однородных потоков;

— организация безопасного движения пешеходов и иных уязвимых участников дорожного движения;

— оптимизация использования парковочного пространства;

— внедрение интеллектуальных транспортных систем.

Развитие технологий подключения автомобиля к дорожно-транспортной инфраструктуре должно быть нацелено на реализацию следующих принципов безопасности:

— значительное снижение вероятности ДТП;

— обеспечение конфиденциальности персональных данных водителей и пользователей;

— обеспечение защиты от кибератак;

— обеспечение защиты от вероятных террористических атак, предпринимаемых с использованием ВАТС;

— обеспечение защиты от намеренной дестабилизации дорожного движения посредством использования ВАТС.

Автомобили имеют широкий диапазон потенциальных уязвимостей, поэтому решения по обеспечению безопасности должны быть многоуровневыми, чтобы обеспечить оптимальную защиту, а перечисленные принципы безопасности должны учитываться еще на этапе разработки транспортного средства и быть неотъемлемой частью его жизненного цикла.

Реализация принципов обеспечения безопасности движения с участием беспилотных транспортных средств на автомобильных дорогах общего пользования позволит добиться максимальной эффективности функционирования автотранспортного и дорожного комплекса, повысить качество и доступность транспортных услуг для всестороннего удовлетворения потребностей населения и экономики страны.

Однако надо иметь в виду, что с появлением беспилотников появились и новые угрозы общественной безопасности. В связи с этим в работе не только дана характеристика робоавтомобиля, но и показаны особенности механизма дорожно-транспортного происшествия с его участием, роли информационной системы в этом. Особое внимание уделено проблемам криминализации и пенализации нарушения правил безопасного функционирования высокоавтоматизированных транспортных средств.

Авторы благодарят Дмитрия Юрьевича Морозова и Татьяну Викторовну Воробьеву за оказанную помощь при подготовке работы.

Глава I.
ВЫСОКОАВТОМАТИЗИРОВАННОЕ ТРАНСПОРТНОЕ СРЕДСТВО
(БЕСПИЛОТНИК)

§ 1. Понятие, уровни автономности и конструктивные особенности автомобилей с высокой степенью автоматизации

Внедрение беспилотных транспортных средств подразумевает четкое и последовательное определение ключевых терминов, их дальнейшее корректное использование, в том числе в нормативных правовых документах и актах технического регулирования, так как это необходимо для безопасного развертывания систем беспилотного вождения транспортных средств.

Для описания различных форм автоматизации наземного транспорта производители, правительственные органы и ученые ряда стран в настоящее время используют разнообразные термины (в скобках приведены их англоязычные эквиваленты):

1) автономный (autonomous) автомобиль;

2) высокоавтоматизированное транспортное средство (highly automated vehicle);

3) беспилотный автомобиль (driverless car);

4) беспилотное транспортное средство (unmanned vehicle);

5) полностью автоматизированное транспортное средство (fully automated vehicle);

6) роботизированный автомобиль (robotic car);

7) самоуправляемое транспортное средство (self-driving vehicle).

Ни один из этих терминов не является общепризнанным и нормативно закрепленным на международном уровне, так же как, в зависимости от контекста, — однозначно правильным или неправильным. Тем не менее наметилось общее понимание в вопросе разработки профильной терминологии в среде профессионалов на уровне международных организаций.

В Российской Федерации в нормативных правовых актах используется термин «высокоавтоматизированное транспортное средство» под которым понимается транспортное средство, в конструкцию которого внесены изменения, связанные с его оснащением автоматизированной системой вождения. В свою очередь, автоматизированная система вождения рассматривается как программно-аппаратные средства, осуществляющие управление транспортным средством без физического воздействия со стороны водителя, с возможностью автоматического отключения при воздействии водителя на органы управления для перехода в режим ручного управления при необходимости, в том числе для предотвращения дорожно-транспортного происшествия⁷.

Устанавливается 5 уровней автоматизации ВАТС, которым задаются соответствующие СШЭ:

— уровень 0 — человек осуществляет полное управление ТС;

— уровень 1 — система помощи водителю (ADAS), позволяющая помогать водителю либо управлять рулем, либо тормозить/ускоряться, но не одновременно;

— уровень 2 — ADAS, позволяющая сама одновременно воздействовать как на рулевое управление, так и на торможение/ускорение, но водитель-человек всегда должен уделять внимание и контролировать обстановку движения, выполняя остальную часть управления ТС;

— уровень 3 — автоматизированная система вождения (АСВ), позволяющая выполнять все задачи вождения ТС при определенных обстоятельствах, однако человек всегда должен быть готов вернуть управление под свой контроль;

— уровень 4 — АСВ сама может выполнять все задачи вождения ТС и контролировать условия вождения, но человеку необходимо осуществлять наблюдение и контроль за работой системы;

— уровень 5 — АСВ на ТС обеспечивает полное управление автомобилем при любых обстоятельствах без участия человека.

Транспортные средства с высокой степенью автоматизации отличаются от неавтоматизированных как с точки зрения программного обеспечения, так и с технической стороны. Для того чтобы движение такого типа транспортных средств было возможно в автоматизированном режиме, разработчики и производители устанавливают на них дополнительное оборудование, как правило, включающее в себя:

— камеры;

— радары;

— лидары;

— инерциальный блок;

— система высокоточной навигации.

Камеры. Видеоизображения предоставляют визуальную информацию для водителя, что также может быть использовано в качестве входного параметра при высокоавтоматизированном вождении. Задние и 360° камеры помогают водителю лучше представлять окружающую среду вне автомобиля. Сегодня двумерные камеры широко доступны для отображения изображений и иногда накладывают на дисплей дополнительную информацию, такую как угол поворота рулевого колеса. Автопроизводители уже начинают устанавливать камеры с виртуальными трехмерными изображениями.

Для обеспечения реалистичности трехмерного изображения обычно требуются входные сигналы от четырех до шести камер, при этом необходимо обеспечить «сшивку изображений», чтобы избежать потери информации или генерации побочных изображений. Для двумерных и трехмерных камер требуются датчики изображения с очень высоким динамическим диапазоном, превышающим 130 дБ. Последний необходим для получения четкого изображения даже при попадании прямых солнечных лучей на объектив.

Современные автомобильные тыловые и 360° видеосистемы обычно имеют централизованную архитектуру. Это означает, что центральный блок управления обрабатывает данные от четырех до шести камер. Обработка выполняется программно, поэтому к процессору предъявляются жесткие технические требования. Современные методы сжатия данных также предполагают большие объемы памяти.

Существует еще один подход, который основан на распределении обработки изображений на камеры и последующем распространении данных через Ethernet на головное устройство (ECU, содержащее элемент управления для основного дисплея), завершающее агрегацию и представление изображений. Отдельные изображения предварительно обрабатываются внутри камеры, а затем отправляются на главный процессор головного устройства с использованием сжатия H.264 с малой задержкой через интерфейс Ethernet.

Передние камеры. Они представляют собой системы для средних и высоких диапазонов, например, в диапазоне от 90 до 250 метров. Эти камеры используют алгоритмы для автоматического обнаружения объектов, их классификации и определения расстояния до них. Так, камеры могут идентифицировать пешеходов и велосипедистов, автомобили, боковые полосы, опоры мостов и окраины дорог. Алгоритмы также применяются для обнаружения дорожных знаков и сигналов.

Камеры среднего радиуса действия предупреждают водителя о перекрестном движении, пешеходах, экстренном торможении впереди идущего автомобиля, а также обнаружении полосы и светофора. Камеры дальнего радиуса действия используются для распознавания дорожных знаков, определения расстояния до объектов на основе видео и навигации по дороге. Для этих систем камер не указывается точная цветопередача сигнала, поскольку используются только прямые исходные данные датчика изображения.

Основное различие между камерами для среднего и высокого диапазона — угол раскрытия линз. Для систем среднего радиуса действия используется горизонтальное поле зрения от 70° до 120°, тогда как камеры с широким диапазоном апертур используют горизонтальные углы приблизительно 35°.

Будущие системы будут пытаться охватить средние и высокие диапазоны исключительно оптической системой. Чтобы добиться успеха, датчики изображения, вероятно, должны иметь более 7 миллионов пикселей.

Радар. Статистика показывает, что 76% дорожно-транспортных происшествий основано исключительно на человеческой ошибке. ADAS (адаптивные системы помощи водителю) требуют нескольких радарных датчиков, которые вносят решающий вклад в общую функцию автономного вождения. Радар (radio detection and ranging) обеспечивает радиообнаружение и измерение дальности.

Современные радиолокационные системы работают на частоте 24 ГГц или 77 ГГц, а также в более точном угловом разрешении. Другими их преимуществами являются меньший размер антенны, а также работа с меньшими помехами. Основные различия лежат между приложениями SRR (радар ближнего радиуса действия) и приложениями MRR / LRR (радар ближнего радиуса действия, радар большой дальности).

Радары ближнего действия выполняют следующие функции:

— мониторинг слепых зон;

— поддержание полосы движения и помощник смены полосы движения;

— задний радиолокатор для предупреждения о столкновении или предотвращения столкновения;

— помощь при парковке.

В качестве примеров приложений MRR / LRR можно назвать:

— тормозной ассистент;

— экстренное торможение;

— автоматический контроль расстояния.

Приложения SSR в основном предназначены для замены ультразвуковых датчиков и поддержки высокоавтоматизированного вождения. С этой целью датчики размещены в каждом углу транспортного средства, а еще один датчик для дальнего обнаружения расположен на передней его части. Для радиолокационной системы «кокон» дополнительные датчики размещены на каждой боковой части автомобиля.

В идеале эти радарные датчики должны использовать полосу частот 79 ГГц с шириной полосы 4 ГГц, однако глобальные спецификации частоты до сих пор допускают ширину полосы только 1 ГГц на частоте 77 ГГц. Общим разделением для радара MMIC (монолитная микроволновая интегральная схема) являются три канала передачи (TX) и четыре канала приема (RX) для монолитной интеграции. Специалистами обсуждается вопрос о том, имеет ли смысл интегрировать обработку базовой полосы в MMIC или лучше сосредоточиться на радиолокационном датчике необработанных данных.

Лидар (Light Detection And Ranging) обеспечивает обнаружение, идентификацию и определение дальности с помощью света. Другими словами, он реализует технологии получения и обработки информации об удаленных объектах с помощью активных оптических систем, использующих явления поглощения и рассеяния света в оптически прозрачных средах. Помимо передатчика (лазера), системе требуется высокочувствительный приемник. Применимая для измерения расстояний до стационарных, а также движущихся объектов, система применяет специальные процедуры для предоставления трехмерных изображений обнаруженных объектов. Задача системы помощи водителю заключается в том, чтобы она работала при всех возможных условиях окружающей среды (температура, солнечная радиация, темнота, дождь, снег) и, прежде всего, распознавала объекты на расстоянии до 270 метров. При этом очень важно, чтобы была возможность организации крупносерийного производства при минимально возможных затратах и наименьших габаритах.

Лидарные системы не новы и уже много лет используются в промышленности и армии. Будучи сложными механическими зеркальными системами с круговой обзорностью 360°, они захватывают пространственные изображения объектов. Однако при стоимости в несколько десятков тысяч долларов не подходят для крупномасштабного использования в автомобильном секторе.

На автомобильном рынке существуют две основные тенденции будущего: инфракрасные системы лидар, в которых с помощью микроэлектромеханической системы (MEMS) используется вращающийся лазер или твердотельный лидар.

Камеры, радары и лидары применяются при создании и эксплуатации высокоавтоматизированных транспортных средств. Некоторые производители не используют лидары, аргументируя это тем, что для движения им достаточно лишь данных с радаров и камер.

Инерциальный блок. Инерциальная единица измерения (IMU) — это электронное устройство, которое измеряет и сообщает определенную силу, угловую скорость, а иногда и ориентацию тела на основе комбинации акселерометров, гироскопов, а порой и магнитометров. IMU, как правило, используются для маневрирования воздушных судов (системы ориентации и направления), в том числе беспилотных летательных аппаратов и многих других космических аппаратов, включая спутники. Последние разработки позволяют производить GPS-устройства с поддержкой IMU. IMU позволяет приемнику GPS работать, когда GPS-сигналы недоступны, например, в туннелях, внутри зданий или при наличии электронных помех. В последнее время инерциальные системы широко используются при внедрении высокоавтоматизированных транспортных средств. Главная их функция — снижение возможных погрешностей при отказе основной системы в местах, где сигнал ограничен или отсутствует.

Высокоточная навигация (GNSS) — это глобальные навигационные спутниковые системы (Global Navigation Satellite System). Они применяются для создания координатно-временного поля на поверхности Земли и в околоземном пространстве. Благодаря глобальным навигационным спутниковым системам можно определить местоположение в любой точке. Достоинства подобных систем очевидны: не требуется прямая видимость между пунктами, погрешность в измерениях может считаться минимальной, измерения можно проводить в любое время суток и при любой погоде. Также стоит отметить, что использование GNSS позволяет в значительной степени сократить время, необходимое для определения местоположения точки.

Глобальные навигационные спутниковые системы включают в себя: космические аппараты, наземные системы контроля и управления, навигационные приборы непосредственных пользователей.

Сигналы GNSS без поправок обеспечивают точность позиционирования от пяти до десяти метров. Поправки могут быть сгенерированы несколькими источниками или методами, учитываются в комбинации с многочастотными измерениями из GNSS, чтобы обеспечить точность от нескольких миллиметров до сантиметра, в зависимости от источника поправок.

Для более корректной работы системы также используется RTK (Real time kinematic) — кинематика реального времени. Это совокупность приемов и методов получения плановых координат и высот точек местности сантиметровой точности с помощью спутниковой системы навигации посредством получения поправок с базовой станции, принимаемых аппаратурой пользователя во время съемки.

RTK отправляет данные от эталонных приемников, находящихся в непосредственной близости от автомобиля. Местоположение может быть покрыто одной или несколькими сетями RTK.

PPP (Precise Point Positioning — позиционирование высокой точности) — метод получения высокоточных координат (в плане и по высоте) местности сантиметровой точности с помощью глобальных навигационных спутниковых систем (GNSS) посредством получения поправок.

Такие компоненты, как радар, лидар и камеры, используются для определения расстояния до объектов, окружающих автомобиль. Если точное местоположение последних известно, эта технология способна определить местоположение транспортного средства с помощью большого количества картографических данных. В сочетании с такими дополнительными технологиями, как ультразвуковое, внутреннее движение, цифровые карты, радар/лидар и камеры, GNSS обеспечивает эффективность позиционирования, необходимую для автономных транспортных средств.

§ 2. Инфраструктура управления автомобилем.
Цифровая модель дороги

Одним из наиболее эффективных способов решения транспортных проблем, вызванных влиянием человеческого фактора, является широкое внедрение технологий автономного вождения и создание требований к инфраструктуре с высокой степенью автоматизации управления. В настоящий момент практически все крупные автопроизводители реализуют проекты, направленные на создание частично или полностью автономных транспортных средств, а уже в 2020 г. западные аналитики прогнозируют запуск серийного производства автомобилей с высокой степенью автоматизации управления.

Структура автоматизированного движения (см. рис. 2) состоит из двух основных блоков. Первый блок отвечает за внешнее техническое зрение, необходимое для реализации движения самого ВАТС, и внутреннее — отвечающее за контроль в салоне ВАТС. Второй блок относится к дорожной инфраструктуре и включает в себя К-ИТС и ЦМД.

Рис. 2. Структура автоматизированного движения

Дорожно-транспортная инфраструктура должна быть способна обеспечить максимальную ситуационную осведомленность ВАТС (см. рис. 3). Принятие окончательных решений в различных ВАТС в общем случае осуществляется автоматизированной системой вождения (АСВ) самостоятельно с учетом рекомендаций дорожной инфраструктуры. Право самостоятельного принятия решения АСВ может быть ограничено в установленном законом случае при наличии соответствующей технической возможности со стороны интеллектуальной транспортной системы.

Рис. 3. Физическая и функциональная структура дорожного движения
с участием беспилотных транспортных средств
на автомобильных дорогах общего пользования

Транспортная инфраструктура является составной частью транспортных систем и включает в себя пути сообщения, терминальные объекты, а также вспомогательные средства и системы (энергоснабжения, связи, управления движением, обмена данными и т. д.). Она выступает единой основой функционирования транспортных систем.

В настоящее время транспортная отрасль находится на этапе создания и внедрения транспортных средств с высокой степенью автоматизации. Одним из важных направлений развития беспилотников является обеспечение взаимодействия между различными вовлеченными объектами для обмена информацией через различные протоколы связи, такие как IEEE 802.11p и LTE-V2V.

Современные автомобили частично уже являются участниками автоматизированного управления. Однако в самое ближайшее время они также будут напрямую взаимодействовать как друг с другом, так и с инфраструктурой. Это взаимодействие охватывается областью кооперативных интеллектуальных транспортных систем (C-ITS), которые позволят участникам дорожного движения и транспортным службам использовать ранее недоступную информацию, обмениваться ею и координировать свои действия. Ожидается, что этот тип сотрудничества⁸ объектов дорожно-транспортного комплекса, обеспечиваемый цифровой связью, значительно улучшит безопасность дорожного движения, эффективность движения и комфорт вождения, помогая водителю принимать правильные решения и адаптироваться к дорожной ситуации.

Связь между транспортными средствами, инфраструктурой и другими участниками дорожного движения также имеет решающее значение для повышения безопасности автоматизированных транспортных средств и их полной интеграции в общую транспортную систему. Сотрудничество, связь и автоматизация — это не только взаимодополняющие технологии, они усиливают действия друг друга и со временем полностью сливаются воедино.

Страны по всему миру (например, США, Австралия, Япония, Корея и Китай) стремительно движутся к внедрению цифровых технологий, а в некоторых транспортные средства и услуги C-ITS уже доступны на рынке. Министры транспорта G7⁹ неоднократно подчеркивали необходимость таких действий. Несколько государств начали развертывание C-ITS в реальных условиях через стратегические альянсы, такие как, например, кооперативный коридор¹⁰ ЕС.

Объединение транспортных средств и инфраструктуры через кооперативный коридор приближает к концепции интеллектуальной и безаварийной мобильности населения. Технически это достигается с помощью кооперативных систем. Они обеспечивают прямую связь между транспортными средствами, системами контроля дорожного движения и центрами управления движением. В этом случае используется связь V2X (связь между транспортным средством и другими объектами ИТС) или C-ITS (кооперативные интеллектуальные транспортные системы).

Существует два основных этапа развития кооперативных ИТС:

— создание кооперативных ИТС, обеспечивающих сетевое взаимодействие управляемых водителем транспортных средств с дорожной инфраструктурой;

— создание кооперативных ИТС, обеспечивающих сетевое взаимодействие транспортных средств с высокой степенью автоматизации управления с дорожной инфраструктурой.

Для успешного развертывания C-ITS требуется беспрецедентный уровень сотрудничества во многих секторах. Чтобы избежать возможных последствий отката назад, таких как увеличение трафика и выбросов, необходимо тесное сотрудничество межминистерского и муниципального уровней управления транспортом и цифровыми коммуникациями. Например, интегрировать совместные, подключенные и автоматизированные транспортные средства в планирование устойчивой мобильности или концепцию «Мобильность как услуга», включая общественный транспорт и активные способы передвижения, такие как ходьба и езда на велосипеде. Для обеспечения широкого признания технологий C-ITS и максимизации их экономического и социального воздействия участие граждан является ключевым фактором, и развертывание C-ITS должно быть сосредоточено на пользователе.

Цифровая транспортная система требует мышления как в горизонтальных срезах, пересекающих различные виды транспорта и отрасли, так и в вертикальных (таких как срез «транспорт – энергетика – телекоммуникации»). Больше нельзя фокусироваться только лишь на одном слое инфраструктуры (например, на дорогах или транспортных средствах). Цифровые технологии также основаны на слое данных, который содержит как статические данные, такие как цифровые карты или правила дорожного движения, так и динамические данные, такие как информация о трафике в реальном времени. Эти данные затем используются для разработки слоя инновационных услуг и приложений, которые доступны через слой сетей. Чтобы наилучшим образом использовать цифровые технологии, необходимо обеспечить доступ к рынкам и добросовестную конкуренцию на каждом из этих уровней.

Для создания благоприятных условий для развертывания услуг C-ITS необходимо обеспечить непрерывность обслуживания, т. е. доступность услуг для конечных пользователей, так как это является наиболее важным фактором для быстрого развертывания C-ITS. С самого начала развертываемые сервисы должны быть максимально доступными как для объектов инфраструктуры, так и транспортных средств. Поэтому необходимо устанавливать приоритеты для скоординированного развертывания услуг C-ITS государством и отраслью.

Перечень используемых сервисов с точки зрения приоритетности рациональнее разделить на несколько групп.

Первая группа — это технологически подготовленные и полезные услуги, чтобы конечные пользователи и общество в целом могли воспользоваться ими как можно скорее. Например, предупреждение о дорожных работах; информация о погодных условиях; аварийный стоп-сигнал и другие опасности.

Вторая группа — это услуги, для которых полные спецификации или стандарты на данный момент могут быть готовы к крупномасштабному развертыванию только частично. Например, все сервисы, относящиеся к ВАТС.

Разработка единого решения безопасности для развертывания и эксплуатации C-ITS, в свою очередь, должна заложить основу повышения безопасности на более высоких уровнях автоматизации (включая передачу данных между транспортными средствами и инфраструктурой).

Сообщения C-ITS будут передаваться для широкого спектра услуг, в различных транспортных ситуациях и между различными участниками. Как правило, водителям все равно, какие коммуникационные технологии используются для передачи сообщений C-ITS, они ожидают беспрепятственного получения всей информации о состоянии трафика и безопасности по всей стране или на межнациональном уровне. Это может быть достигнуто только с помощью гибридного коммуникационного подхода, т. е. путем объединения различных коммуникационных технологий.

Чтобы поддерживать все услуги C-ITS для транспортного средства, на борту должен быть полный гибридный набор связи.

Требования к инфраструктуре при выборе коммуникационных технологий зависит:

— от ее местоположения;

— типа услуг;

— экономической эффективности.

В отличие от модели связи V2V, которая обеспечивает обмен информацией только между транспортными средствами, V2I позволяет транспортным средствам в пути взаимодействовать с транспортной инфраструктурой. Эти компоненты включают в себя RFID-считыватели, дорожные светофоры, дорожные камеры, станции ИТС, уличные фонари, метеостанции и парковочные счетчики.

Как правило, связь V2I является беспроводной, двунаправленной и, аналогично V2V, использует для передачи данных выделенные частоты связи ближнего действия (DSRC) и сотовую технологию. Информация отправляется элементами инфраструктуры к транспортному средству или, наоборот, через специальную сеть. Поэтому выбор местоположения элементов инфраструктуры особенно важен для точности информации и качества ее передачи через средства связи.

В странах Европейского союза в настоящее время наиболее перспективным гибридным коммуникационным соединением является комбинация ETSI ITS-G5 и существующих сетей сотовой связи. Это обеспечивает наилучшую возможную поддержку для развертывания всех услуг C-ITS в рамках первой группы. Данный способ сочетает в себе низкую задержку ETSI ITS-G5 для критичных ко времени сообщений C-ITS, связанных с безопасностью, с широким географическим охватом и доступом к большим группам пользователей существующих сетей сотовой связи.

В оборудование V2I могут поступать инфраструктурные данные и передавать водителям сообщения в реальном времени, отправляя информацию о дорожных условиях, транспортных заторах на дорогах, любых дорожно-транспортных происшествиях на проезжей части, технических авариях, наличии ремонтных работ, наличии парковочных мест и др. Кроме того, службы организации дорожного движения и верхний уровень управления ИТС могут использовать данные, собранные от инфраструктуры и транспортных средств, чтобы установить переменные ограничения скорости и отрегулировать длительность светофорного цикла и фаз для обеспечения экономии топлива и оптимизации параметров движения транспортных потоков.

Аппаратное и программное обеспечение связи между транспортными средствами и инфраструктурой являются фундаментальной отправной точкой для развития автономных транспортных средств.

Одной из основных задач совершенствования интеллектуальной дорожной инфраструктуры является совершенствование технологической инфраструктуры, которая должна включать в себя полноценную работу всех типов связи V2X и C-V2X. Другой важной задачей является создание верхнего уровня управления интеллектуальной дорожной инфраструктурой, которым является цифровая модель дороги (ЦМД).

Формирование подходов по созданию технологии обеспечения движения беспилотного автотранспорта на основе системы высокоточного позиционирования и цифровой модели дороги. Решение задачи обеспечения движения смешанных транспортных потоков в автоматизированном режиме необходимо реализовывать на основе технологии ЦМД и специальных алгоритмов управления автоматизированными транспортными потоками. Суть технологии заключается в подготовке и передаче от ЦМД на бортовые системы автомобиля стратегической информации, необходимой для эффективного и безопасного управления транспортными потоками, и формировании на ее основе управляющих воздействий АСВ транспортного средства.

Задачи безопасного движения, исключения столкновений автоматизированного транспортного средства с другими участниками движения и иными препятствиями вполне могут быть решены с использованием средств технического зрения, однако наличие дополнительных сведений, получаемых от единой информационной системы о различных событиях, например, о дорожно-транспортном происшествии, гололедице, ремонте дороги и др., позволят вывести показатели безопасности дорожного движения на качественно новый уровень. Прежде всего, данное положение обусловлено тем, что ЦМД предоставляет ту или иную информацию заблаговременно. Это позволяет увеличить временной интервал, в течение которого системам автономного движения необходимо предпринять соответствующие ситуации действия, обусловит снижение или вовсе исключит необходимость применения экстренных мер и резкого маневрирования. Кроме того, применение ЦМД даст возможность реализовать автономное движение в неблагоприятных погодных условиях, ночью, без оснащения дорожной инфраструктуры дорогостоящим оборудованием, а также минимизировать эксплуатационные расходы на содержание системы.

Методология формирования цифровой модели дороги. ЦМД должна создаваться как информационная модель с распределенным хранением данных, предоставляемых для использования в различных режимах эксплуатации: онлайн и офлайн. Режим онлайн подразумевает использование ЦМД в виде геолокационных сервисов, а режим офлайн предназначен для автономного использования ЦМД в составе автомобильных навигаторов и устройств автоматического управления. Также возможен и комбинированный подход, где при нахождении в зоне устойчивой связи в режиме онлайн происходит получение данных ЦМД на определенную территорию или маршрут движения транспортного средства с целью последующего задействования автоматизированных систем управления.

Таким образом, ЦМД должна обеспечивать:

— ситуационную осведомленность автоматизированного транспортного средства;

— определение оптимальных маршрутов движения автоматизированного транспортного средства и их безопасного скоростного режима.

Состав ЦМД включает в себя следующие компоненты:

— цифровую крупномасштабную навигационную карту с описанием структурных линий дорог, дорожной разметки, осевых линий полос движения;

— актуальный план организации дорожного движения;

— цифровой граф дорог;

— цифровые сведения об условиях движения, характеризующие текущую дорожно-транспортную обстановку (препятствия, ДТП, погодные условия, качество дорожного покрытия и пр.);

— данные, описывающие объекты придорожной инфраструктуры и сервиса;

— программные интерфейсы формирования оптимальных маршрутов движения и скоростных режимов движения автоматизированного транспортного средств;

— программные интерфейсы формирования линии движения для каждого автоматизированного транспортного средства с учетом их кинематических моделей, с пополосной детализацией и с учетом вариативности движения по полосам;

— программные интерфейсы предоставления сведений об участке дороги для специального вычислителя, обеспечивающего управление движением автоматизированного транспортного средства с применением устройств технического зрения.

Общий состав пространственных данных ЦМД охватывает следующие слои:

— фоновые данные. Данный слой создается на основе цифровых планов городов и представляет собой цифровую картографическую подложку;

— дорога. Данный слой создается на основе детальной съемки дорожных полотна, разметки, знаков и светофоров с использованием средств высокоточного позиционирования.

Цифровая съемка дороги может быть проведена с помощью высокопроизводительной специализированной дорожной лаборатории по технологии мобильного лазерного сканирования (см. рис. 4).

Рис. 4. Специализированная дорожная лаборатория
(на примере НПО Регион)

На первом этапе подвижная лаборатория, двигаясь по дороге, получает и регистрирует следующие данные:

— цифровое видеоизображение (несколько синхронизированных каналов), как покадровое, так и потоковое с высоким разрешением;

— пройденный путь;

— геометрию дороги, включая радиусы кривых и углы поворота в плане, продольные и поперечные уклоны, радиусы выпуклых и вогнутых кривых;

— географические координаты объектов в системе координат WGS-84 с высокой точностью.

На втором этапе осуществляется обработка полученных данных с помощью специализированного программного обеспечения (см. рис. 5) и получают следующие данные:

1) визуальную идентификацию дорожных объектов;

2) измерение геометрических размеров любых дорожных объектов: точечных (дорожные знаки, рекламные щиты, опоры, сигнальные столбики); линейных (трещины, дорожная разметка, ограждения, лесополосы); плоскостных (выбоины, ямочный ремонт, проезжая часть, обочины, пешеходные дорожки).

Рис. 5. Специализированное ПО обработки информации

Полученные данные хранятся в векторном виде и визуализируются как условные обозначения, соответствующие нормативно-технической документации. Данные слоя «дорога» могут быть опубликованы с применением таких протоколов, как OGS WMS и WFS. При этом протокол WMS применяется для передачи изображений, а протокол WFS — для передачи координатного и атрибутивного описания элементов дороги, разметки и знаков (см. рис. 6). Наборы данных могут передаваться в форматах GML или JSON. Для унификации информационного обмена и автоматизации процедур загрузки исходных данных разрабатывается специализированный классификатор, включающий необходимый состав объектов и атрибутов.

Рис. 6. Пример создания цифровой карты участка трассы М-11
с использованием дорожной лаборатории

В ходе подготовки к участию в презентации первого этапа проекта Федерального дорожного агентства «Караван» для обеспечения проезда беспилотных автомобилей была осуществлена цифровая съемка дороги с использованием подобной передвижной дорожной лаборатории на участке автодорожного подхода к Крымскому мосту (см. рис. 7). Полученная цифровая карта включает:

Рис. 7. Пример создания цифровой карты у Крымского моста

1) инфраструктуру — слой данных, описывающий объекты дороги, придорожной инфраструктуры и сервиса;

2) граф дорог, представляющий собой навигационную информацию высокой точности, представленную логической моделью дуг и узлов для построения и перестроения маршрутов движения. Граф дорог создается на основе линейных объектов, характеризующих осевые линии дорог, улиц, проездов и иных элементов дороги. В качестве исходных данных используются цифровые карты и планы. Дуги — это линии движения, а узлы — точки, в которых может быть выполнен маневр (поворот, разворот, перестроение). В составе графа могут быть применены дуги с односторонним или двусторонним движением. Двусторонние дуги могут быть получены по картам, на которых дороги представлены одной линией; односторонние дуги — по планам, где дороги отображаются площадными объектами с выделением полос движения. Сведения о количестве полос движения в одном направлении в графе отсутствуют, поскольку его основное назначение заключается в решении навигационных задач — построение и перестроение маршрутов движения. Для получения сведений о рядности (количестве полос движения в одном направлении) и порядке перестроения совместно с графом дорог используется слой «Дорога»;

3) навигационную информацию высокой точности, представленную логической моделью дуг и узлов для построения и перестроения маршрутов движения. При этом исходными данными для построения маршрута являются:

— координаты старта и финиша;

— тип транспортного средства (грузовой, легковой);

— планируемое время начала движения;

— максимально разрешенная скорость на участках дорог;

— максимально допустимый уклон;

— масса транспортного средства;

— высота транспортного средства;

— максимальная нагрузка на ось;

— минимальный радиус поворота.

Построение маршрута выполняется на основе заблаговременно созданного подробного графа дорожной сети. При этом выполняется анализ ограничений, накладываемых на движение конкретного транспортного средства в атрибутивном описании дуг графа: тип транспортного средства, максимальная масса, высота, максимальная нагрузка на ось. В случае его негабаритных размеров определяется радиус поворота дуг графа. Кроме того, учитывается возможный запрет движения в конкретное время суток и другие ограничения:

— условия движения, содержащие сведения оперативного мониторинга дорожной обстановки;

— текущий маршрут движения, построенный с учетом данных оперативного мониторинга дорожной обстановки, является результатом построения по графу дорог. В качестве исходной информации указывается точка текущего положения автоматизированного транспортного средства и желаемая конечная точка. При построении маршрута по графу дорог может использоваться дополнительная информация о текущих условиях движения (ДТП, дорожные заторы, ремонтные работы, осадки и пр.).

Следует также отметить, что для реализации ЦМД необходимо разработать:

— нормативную правовую базу использования единой информационной системы, функционирующую на базе облачных технологий;

— правила цифрового описания и цифровые классификаторы дорожной информации для цифровых электронных карт с учетом поддержки автоматизированной системы вождения;

— требования к отраслевым информационным базам данных в части унифицированного предоставления сведений внешним потребителям;

— формат и схемы пространственных данных для публикации цифровых электронных карт и отраслевых баз данных;

— опытный образец программно-аппаратного комплекса ЦМД, функционирующего на основе облачных технологий.

Разработка логической модели дуг и узлов для построения и перестроения маршрутов движения. Для определения оптимальных маршрутов движения автоматизированных транспортных средств и их безопасного скоростного режима информационная модель ЦМД включает следующие части:

— статическая составляющая ЦМД: фоновые данные, информация о дороге и цифровой граф дорог;

— динамическая составляющая ЦМД: информация о текущих условиях движения и маршруте движения;

— переменная составляющая ЦМД: информация «технического зрения» автоматизированных транспортных средств, необходимая для принятия решений по управлению движением ВАТС.

Статическая и динамическая составляющие ЦМД хранятся на серверах в базах данных. С учетом протяженности дорог Российской Федерации эти сведения могут составлять существенный объем данных. В то же время ЦМД в составе бортового вычислителя автоматизированных транспортных средств должна обеспечивать оперативное предоставление маршрута движения. Для решения этой задачи маршрут движения можно условно разделить на две составляющие: маршрут следования и линия движения.

Маршрут движения представляет собой совокупность последовательных однонаправленных дуг с соответствующими значениями основных параметров (табл. 1). В качестве примера можно привести пример с перестроением транспортного средства. В случае наличия на участке маршрута нескольких полос в одном направлении и отсутствия запретов на перестроение влево или вправо маршрут содержит все возможные полосы для перестроения. В случае отсутствия возможности прокладки участка маршрута без перестроения в соседние полосы соответствующие дуги должны иметь атрибут «Незамедлительное перестроение» для обеспечения заблаговременного перестроения и подготовки к повороту.

Таблица 1

Назначение параметров движения

№

Параметр

Назначение

1

Максимальная скорость

Может отличаться от исходной максимальной скорости участка графа ввиду ограничений на максимальную скорость конкретного транспортного средства

2

Максимальная скорость следующего участка

Необходимо для плавного уравнивания скорости до конца текущего участка во избежание экстренного торможения

3

Идентификатор следующей дуги

Следующая за текущей дуга в случае отсутствия вынужденных перестроений

4

Идентификатор дуги для перестроения вправо

Следующая за текущей дуга в случае необходимости для перестроения вправо

5

Идентификатор дуги для перестроения влево

Следующая за текущей дуга в случае необходимости для перестроения влево

6

Запрет остановки

7

Запрет перестроения вправо

8

Запрет перестроения влево

9

Незамедлительное перестроение влево

До окончания текущей дуги следует перестроиться в левую полосу движения

10

Незамедлительное перестроение вправо

До окончания текущей дуги следует перестроиться в правую полосу движения

11

Длина участка

Для определения текущего расстояния до конца участка

12

Ширина покрытия, проезда

13

Радиус поворота

(«+» — левый поворот, «–» — правый поворот)

ЦМД и кооперативные системы. Даже если будет создано совершенное ТС, которое будет вести себя как опытнейший водитель, оно сохранит те ограничения, которые были присущи человеку. Сенсорная система не может бесконечно далеко контролировать ситуацию, у нее всегда есть ограничения по дальности контроля. С 3-го уровня беспилотности уже необходимо прогнозировать ситуацию, так как в данном случае человеку должно предоставляться время на принятие управления на себя. Сказанное означает, что за это время беспилотник должен контролировать дорожную ситуацию и управление ТС. Переход управления должен быть гарантированным, чтобы водитель точно успел взять управление на себя, между тем иногда на это может требоваться довольно большой интервал времени. Нет ни одной сенсорной системы, которая позволит сканировать объекты на таком расстоянии, проехать которое можно за минуту. С помощью технического зрения решение задачи маловероятно, поэтому 3-й уровень предполагает обмен данными с другими транспортными средствами. При полноценном внедрении указанного уровня необходим информационный обмен между ВАТС и интеллектуальной дорожной инфраструктурой.

Разделение на кооперативную ИТС и ЦМД происходит следующим образом. Смысл кооперативного управления заключается в том, что управляющее воздействие формируется не в каком-то едином центре, а на местах, т. е. вырабатывается самими участниками дорожного движения. Этот принцип актуален, когда нет влияния на какое-то глобальное состояние системы. Например, вопрос о том, кто является первым при разъезде на нерегулируемом пересечении, не является стратегическим, а все тактические задачи могут решаться без подключения какого-то глобального центра управления. Таким образом, задачи делятся на тактические и стратегические. Тактические решаются на местах за счет обмена информацией между УДД и выработки ими требуемых решений в соответствии с регламентами и протоколами. Это аналогично тому, как в соответствии с правилами дорожного движения водители договариваются о том, кто уступает дорогу, а кто едет в приоритете, но только в кооперативных системах это безусловно: безусловная уступка и безусловный приоритет. В данных системах действует общая договоренность, которая доводится до каждого.

На дорогах часто возникают такие ситуации, которые беспилотнику самому трудно решить. Например, встраивание в поток при съезде с второстепенной дороги при въезде на автомагистраль. Если на автомагистрали настолько плотное движение, что тяжело найти разрыв в потоке для того, чтобы встроиться в него, то беспилотник будет ждать до тех пор, пока ему не уступят проезд или пока не снизится плотность потока. В реальности водители идут на нарушение и встраиваются с созданием аварийной ситуации, но при этом ДТП чаще всего не происходит, так как транспортное средство, следующее в потоке, сбавляет скорость для того, чтобы избежать столкновения (см. рис. 8).

В кооперативной системе описанная ситуация решается следующим образом. Три транспортных средства договариваются, их скорость изменяется, чтобы обеспечить разрыв, в который мог бы встроиться выезжающий на магистраль автомобиль (см. рис. 9). При этом можно задать частоту встраивания, чтобы соблюдался приоритет ТС, движущихся по магистрали. Эта задача уже является стратегической и решается с помощью ЦМД.

Рис. 8. Принятие решений на основе собственных данных
(условия ограниченной видимости)

Рис. 9. Принятие решений на основе агрегированных данных
(условия полной видимости)

С развитием ЦМД можно управлять различными клиентскими группами, задавать различные приоритеты транспортных потоков, перенаправлять транспортные потоки, а также обеспечивать оптимальную загрузку дороги, обеспечивать безаварийность дорожного движения в рамках стратегического управления безопасностью всей УДС и эффективность транспортной сети. Кооперативные системы в тактическом уровне обеспечивают и безопасность движения в рамках разъездов в конфликтных точках, а также локальную эффективность проезда различных узлов и участков.

§ 3. Человеко-машинный интерфейс для автомобилей с высокой степенью автоматизации.
Необходимые компетенции водителя

Во многих современных автомобилях, эксплуатируемых на дорогах общего пользования, уже применяются технические и технологические решения частичной автоматизации процесса управления. Согласно критериям Ассоциации транспортных инженеров (SAE), такие системы подходят под 2-й уровень автоматизации, при котором водитель при активированной системе делегирует часть выполняемых им действий автоматизированным системам управления транспортным средством, однако при этом он обязан следить за окружающей обстановкой, не отпуская органы управления автомобилем. В качестве примера современных решений автоматизации управления можно указать модели известных мировых брендов премиум-класса: Mercedes-Benz, BMW, Volvo, Tesla и др. Чаще всего указанные решения представлены системами удержания полосы движения, адаптивного круиз-контроля и автоматической парковки транспортного средства.

Следует отметить, что регулирование и стандартизация в построении интерфейсов ограничены документами, регулирующими только расположение элементов управления. Отсутствие единого стандарта формирования интерфейса может снизить уровень безопасности при эксплуатации автоматизированных транспортных средств по причине отсутствия у пользователей категорий, понятных на интуитивном уровне, которые позволят быстро адаптироваться к новому техническому устройству вне зависимости от марки, модели и производителя.

Существует достаточно большое количество подходов к проектированию человеко-машинного интерфейса; в каждом из них рассматриваются важные составляющие для корректного и быстрого обмена данными между пользователем и системой.

Как уже говорилось, к настоящему времени определено всего шесть уровней автоматизации транспортного средства. Каждый последующий уровень отличается от предыдущего более расширенным арсеналом исполняемых задач, которые направлены на снижение роли человека в управлении транспортным средством. Сегодня полное исключение человека из системы управления невозможно как из-за технического несовершенства технологий управления и процесса принятия решений, так и из-за недостаточной проработки нормативных правовых аспектов.

Одним из барьеров на пути развития автоматизации транспорта выступает отсутствие дорожной инфраструктуры, которая потенциально должна нести в себе весомую часть информации о дорожных условиях и удовлетворять требованиям беспилотных транспортных средств. Но, несмотря на имеющиеся недостатки, проводится большое количество тестовых и полигонных испытаний, где беспилотные транспортные средства показывают высокие результаты, отрабатывая сценарии движения с минимальным количеством ошибок или вовсе без них.

Базовые составляющие процессов смены субъекта. Стандарт SAE j3016 «Классификация и систематизация, а также определения терминов, относящихся к системам автоматизации вождения для дорожных моторных транспортных средств» определяет уровни автоматизации, но не указывает на существенные отличия между ними. Согласно данному документу 2-й уровень автоматизации подразумевает непрерывное взаимодействие человека с системой, водитель постоянно контролирует автоматизированную систему вождения, корректируя при необходимости ее работу.

Немного другая ситуация будет происходить во время работы автоматизированных функций 3-го и 4-го уровней. Переход на более качественный уровень расширяет возможности систем и позволяет в определенных обстоятельствах отвлечься водителю от процесса управления и заняться личными делами внутри салона автомобиля.

Представим, что водитель находится в совокупности с роботизированным агентом, который способен выполнять некоторые сценарии движения, и вместе они составляют единую экосистему, внутри которой существуют два управляющих субъекта: 1) человек-водитель; 2) роботизированный агент, автоматизирующий процесс передвижения.

Полный контроль движения на протяжении всего пути (по крайней мере на текущем этапе развития технологии) агент поддерживать не в состоянии, поэтому последовательная смена субъекта в рамках одной поездки будет считаться приемлемым обстоятельством. В связи с таким положением возникает вопрос: каким образом осуществить безопасную передачу управления от агента к водителю без прекращения движения? Стандартный процесс передвижения подразумевает, что водитель постоянно находится в режиме получения, обработки информации из разных источников и на основе этого принимает решения о дальнейших действиях, направленных на безопасное управление транспортным средством.

Согласно базовой теории управления процесс управления автомобиля водителем состоит из пяти этапов (см. рис. 10). В этом случае имеет место цикличный процесс, так как по мере изменения дорожной ситуации порядок действий не изменяется, цикл управления начинается с получения новой информации и заканчивается контролем предпринятых действий:

1) получение информации;

2) обработка информации;

3) принятие решений;

4) выполнение действий;

5) контроль выполнения действий.

Рис. 10. Петля управления транспортным средством

Если же функция управления лежит на роботизированном агенте, то его действия будут мало чем отличаться от действий водителя. Как и водителю, агенту необходимо осуществлять те же действия, т. е. проводить сбор информации, ее обработку, выбор сценария управления, совершать управляющие воздействия и осуществлять контроль за выполнением этих действий.

Автономные системы проектируются таким образом, чтобы информация об активных функциях и окружающей обстановке поступала непрерывно и с достаточно большой частотой с целью минимизирования или исключения временны́х потерь. Система детектирования постоянно находится в активном состоянии, соответственно роботизированный агент осведомлен о дорожной обстановке и ситуации в салоне или кабине транспортного средства в каждый момент времени при эксплуатации транспортного средства. Если обстановка соответствует требованиям, заложенным сценариями, то роботизированный агент может беспрепятственно принять управление транспортным средством на себя.

На случай нештатных ситуаций в системы автоматизированного управления заложен защитный механизм от ложной передачи управления. Иными словами, агент не сможет принять управление на себя, если хотя бы один элемент в системе функционирует некорректно (или не функционирует вовсе), отсутствуют сценарии действий или система получает недостаточно информации, что в значительной мере снижает безопасность движения.

Обратный процесс, т. е. принятие управления человеком, является более сложным как с точки зрения безопасности, так и функционального исполнения, поскольку водитель может обладать неполными сведениями о дорожной обстановке и быть не готовым принять управление, что ставит под сомнение вопрос об успешной смене субъекта управления транспортным средством. Проектируемые системы по умолчанию имеют набор базовых алгоритмов, задачей которых является разрешение потенциально опасных ситуаций. Процесс смены субъекта может быть представлен в двух вариантах:

1) привлечение внимания водителя и информирование его о том, что требуется принять управление на себя. В данном случае важно получение обратной связи о том, что водитель готов принять управление и система беспилотного управления деактивирована;

2) в случае отсутствия обратной связи происходит активация и исполнение сценария вынужденной остановки.

Доверие к системе. Доверие к функциям автоматизации процессов является важным фактором для использования и принятия различных систем в различных областях. Рассматривая уровень доверия как величину, стоит отметить, что при ее низком уровне задействование полного функционала систем становится попросту невозможным ввиду постоянного прерывания процесса исполнения алгоритмов водителем или оператором. В конечном счете это негативно сказывается на приемлемости, комфорте и безопасности функционирования автоматизированных систем.

В сети можно найти достаточно большое количество видеороликов, где демонстрируется высокий уровень доверия пользователей во время функционирования автоматизированной системы управления. Вместе с этим происходит практически полное отвлечение внимания, а в некоторых случаях игнорирование требований, связанных с взаимодействием с управлением автомобилем. Такие видеоролики формируют неверное представление о возможностях функций автоматизации и способствуют неправильному формированию понимания эксплуатации систем такого уровня, поскольку доверие к автоматизации принимается как уверенность в том, что система будет действовать в соответствии с тем, что ожидает пользователь, включая дополнительные преимущества этой системы для водителя. В свою очередь, уровень доверия к автоматизированному вождению связан с конкретными сценариями, настройками и характеристиками транспортного средства, а также наличием у водителя опыта работы с определенными функциями.

Таким образом, важнейшей задачей создания человеко-машинного интерфейса является способность калибровки уровня доверия для каждого конкретного пользователя. Калибровку в данном контексте следует рассматривать как наличие точных знаний о возможностях системы.

Глубина погружения. Глубину погружения (R) в процесс вождения иначе можно обозначить как значение уровня осведомленности о дорожной обстановке. Глубина погружения представляет собой некую величину, выраженную в виде отношения числа каналов, от которых поступает информационный сигнал, к числу действий обратной связи. Таким образом, для каждого из трех режимов (полное управление, контроль управления агента, состояние отвлечения) будет определяться своя глубина погружения.

Более наглядно данное положение характеризует так называемая петля управления транспортным средством, оборудованным автоматизированной системой управления (см. рис. 11).

Рис. 11. Петля управления транспортным средством, оборудованным автоматизированной системой управления

К критическим точкам глубины погружения относятся:

1 — полное погружение в процесс вождения; говорит о том, что управление транспортным средством происходит в ручном режиме (водителем);

1¹ — управление транспортным средством осуществляется роботизированным агентом, при этом водитель контролирует данный процесс;

0 — управление транспортным средством осуществляется роботизированным агентом, при этом водитель полностью отвлечен от данного процесса.

Стоит отметить, что во время движения транспортного средства у водителя не всегда заблокированы абсолютно все каналы получения информации (за исключением состояния сна), поэтому в большинстве случаев глубина погружения будет определяться точкой, расположенной между 0 и 1¹.

Точки, расположенные по большому радиусу под номерами 1–6, соответствуют этапам управления автомобиля человеком. Иными словами, присутствие на любой точке внешнего радиуса определяется как прохождение закономерного этапа ручного управления автомобилем. Точки, расположенные по малому радиусу под номерами 1′–6′, соответствуют этапам ручного режима управления, но так как управляющие воздействия исполняются роботизированным агентом, человек выполняет контролирующую функцию, оценивая каждое действие:

1′ — получение информации;

2′ — обработка полученной информации;

3′ — оценка принятого управляющего воздействия;

4′ — оценка исполненного управляющего воздействия;

5′ — оценка эффективности исполненного управляющего воздействия;

6′ — корректировка управляющего воздействия.

Первые три этапа являются важнейшими в цикле, поскольку именно от них зависит качество решений, при этом о качестве взаимодействия с информацией следует говорить в контексте ситуационной осведомленности.

Определение ситуационной осведомленности существует в нескольких видах, но общий смысл заключается в восприятии элементов окружающей среды в пространстве и времени, понимании их значения и прогнозировании их состояния в краткосрочной перспективе. Подход к обработке информации лучше всего представлен теоретической трехуровневой моделью ситуационной осведомленности Эндсли. Первоначально модель Эндсли разрабатывалась для понимания авиационных задач, но ее можно распространить и на другие области. Любая задача, требующая от людей отслеживания событий, выступает потенциальным кандидатом для исследования и применения ситуационной оценки. Модель разделена на три иерархических уровня ситуационной оценки, причем каждый этап является необходимой подосновой для следующего более высокого уровня. Модель выглядит в виде цепочки обработки информации, начиная с ее восприятия и заканчивая прогнозированием действий.

Уровень 1. Восприятие элементов окружающей среды. Данный уровень является самым низким уровнем ситуационной осведомленности и связан с восприятием водителем информации от бортовых устройств, поведения подконтрольного транспортного средства и дорожной обстановки, также учитывается и поведение (состояние) других людей, находящихся в транспортном средстве. На этом этапе интерпретация информации не производится. Имеет место первоначальное получение информации в необработанном виде. Получение данных позволяет водителю определять состояние многих переменных (например, обороты двигателя, направление движения, скорость движения), но в дальнейшем их интеграция проводиться не будет.

Уровень 2. Понимание текущей ситуации. Оно следует из качества восприятия элементов. Данные могут быть интегрированы и синтезированы для дальнейшего понимания актуальности задач водителя. Осознание текущей ситуации важно для анализа значения переменных с целью обновления статуса — получения информации о том, что происходит в настоящее время (направление движения, оставшееся время в пути и т.д.). Таким образом, водитель проводит анализ того, могут ли его действия привести к ожидаемым результатам. Эндсли утверждает, что достижение данного уровня понимания является признаком опыта водителя.

Уровень 3. Прогнозирование. Самый высокий уровень осведомленности связан со способностью прогнозировать будущее состояние элементов окружающей обстановки. Точность прогноза зависит от точности предыдущих уровней (1 и 2). Прогнозирование будущей ситуации дает водителю время для разрешения конфликтов и планирования действий, что в свою очередь позволяет своевременно устранить возможные проблемы.

Улучшение ситуационной осведомленности. Эндсли также утверждает, что при проектировании системы следует пытаться поддерживать или повышать уровень ситуационной осведомленности. С целью реализации данного положения им был предложен следующий набор критериев проектирования интерфейса:

— уменьшение требований к операторам по выполнению расчетов;

— предоставление данных таким образом, чтобы упростить процессы понимания (уровень 2) и прогнозирования (уровень 3);

— предоставление информации, соответствующей целям;

— вывод индикаторов текущего режима или состояния системы, которые помогут определить соответствующую ситуационную осведомленность;

— вывод критических сигналов для привлечения внимания во время критических событий;

— создание глобальной ситуационной осведомленности, которая будет поддерживаться путем обзора ситуации исходя из целей и задач оператора;

— системная поддержка прогнозирования будущих событий и состояний;

— мультимодальный проект системы, который будет предоставлять данные из разных источников одновременно, а не последовательно, что необходимо для поддержки параллельной обработки информации.

Большинство перечисленных критериев указывает на создание качественного дизайна устройств передачи, но по большому счету ситуационная осведомленность — это общий когнитивный навык, который является неотъемлемой частью всех ситуаций, требующих экспертной работы в динамических, сложных и неопределенных условиях. Развитие данного навыка возможно при обучении различным аспектам ситуационной осведомленности, т.е. для безопасного управления транспортным средством, оборудованным системой автоматизированного управления, требуется соответствующая подготовка:

— практика в мониторинге соответствующих дисплеев — для повышения качества восприятия;

— использование расширенных контрольных списков — для повышения времени жизни соответствующих данных;

— обучение в распределении внимания;

— практика многозадачности;

— обучение распознаванию и сопоставлению с образцом.

Согласно модели Эндсли (см. рис. 12) состояние ситуационной осведомленности является результатом процесса анализа и оценки ситуации и включает в себя:

— знание того, что происходит вокруг;

— осознание значений собственных действий и действий других участников ситуации (роботизированного агента);

— представление сценария развития ситуации.

Рис. 12. Ситуационная осведомленность

Знание и понимание дорожной обстановки важно одновременно для обоих субъектов управления (роботизированный агент и водитель).

Осведомленность роботизированного агента поддерживается исполнением следующих уровней:

уровень 1 — восприятие или сбор данных. Происходит в режиме реального времени с записью хронологии действий водителя;

уровень 2 — понимание. Заключается в том, что система в любой момент времени способна принять управление на себя и для этого необходимо владеть информацией о прошлых действиях и параметрах настоящей ситуации;

уровень 3 — прогнозирование. Заключается в способности корректировки режима движения при действиях обоих субъектов управления.

К уровням осведомленности водителя следует отнести:

уровень 1 — восприятие. Заключается в способности полномерно воспринимать текущую информацию из окружающей среды и бортовых индикаторов автомобиля;

уровень 2 — понимание. Представляет собой осознание характера движения (текущее положение автомобиля в полосе, его скорость и направление);

уровень 3 — прогнозирование. Представляет собой попытку представить, каким образом изменится характер движения при принятии управления.

Стимулирование необходимого уровня внимания. Соответствующий уровень внимания водителя во время автоматизированного движения напрямую связан с требуемым уровнем безопасности. Желаемый уровень безопасности функционирования автоматизированных систем заключается в том, что число аварий и конфликтов не должно увеличиваться по сравнению с вождением в ручном режиме.

Если надежность системы постоянна, то и уровень внимания водителя, который может потребоваться в любой момент времени, вполне может быть определен. В системе, где присутствует человек, показатель надежности не может быть постоянной величиной ввиду наличия человеческого фактора.

Существует большая разница между взаимодействием пользователя с транспортным средством через активный контроль и простым наблюдением за его работой (см. рис. 13).

Рис. 13. Типы взаимодействия пользователя с ТС

При ручном управлении одновременно работают циклы управления и мониторинга, а при автоматизированном только циклы мониторинга. Таким образом, существуют два выхода из цикла:

1) выход из цикла управления;

2) выход из цикла управления и мониторинга.

В данном случае возникает вопрос: будет ли пользователь интерпретировать удаление из цикла управления, подразумевая и отсутствие необходимости мониторинга? Движение без контакта с органами управления автомобилем («вождение без рук») будет приравниваться к тому, что необходимость постоянного мониторинга процесса исчезнет. Это было обнаружено в эксперименте, проводимом на симуляторе вождения, когда участникам было предложено заниматься своими делами, если они этого пожелают. Те участники, которые имели опыт использования систем адаптивного круиз-контроля совместно с системой удержания полосы, отвлекались на второстепенные дела на протяжении 43% времени передвижения при автоматизированном управлении.

С точки зрения пользователя совершенно логично, что система, которая берет на себя управление и удерживает транспортное средство на своей полосе движения, не нуждается в помощи со стороны водителя.

Поскольку современные автоматизированные системы 2-го уровня еще подвержены ошибкам в нештатных ситуациях, точно определить время, когда необходима помощь со стороны пользователя, невозможно. Таким образом, разработка систем оповещения об экстренной передаче управления водителю не представляется возможной.

Требуемый уровень внимания должен поддерживаться на протяжении всей поездки, а не ситуативно. При проектировании систем основной стратегией должно быть противодействие последствиям выхода из цикла управления и мониторинга. Создание постоянного информационного потока о статусе системы позволит привлечь внимание пользователя и не допустить выхода из крайнего цикла мониторинга. Для систем 2-го уровня автоматизации производители используют ряд индикаторов, имеющих разные цвета в зависимости от статуса, например, рулевое колесо на панели приборов. Проектируемые в настоящее время системы требуют всегда держать руки на рулевом колесе, а в случае нарушения таких требований водитель получит предупреждение. Интервал времени, после которого появляется предупреждение о снятии рук с рулевого колеса, различается в зависимости от производителя и варьируется от нескольких секунд до нескольких минут.

Обеспечение физического комфорта. Что касается ускорений/замедлений, то комфорт не обязательно зависит от величины данных параметров. Более важным фактором является продолжительность их воздействия на человека. Слабый раздражитель не вызывает дискомфорт у пользователей при условии, что он действовал непродолжительное время. Дискомфорт появляется, если раздражитель возникает достаточно часто и воздействует достаточно долго.

Когда водитель или пассажир видит гладкую или ровную дорожную поверхность, по которой движется транспортное средство, то он ожидает отсутствия вибраций, что, в свою очередь, делает сами вибрации еще более раздражающими при их возникновении. С точки зрения автоматизированного вождения также будет присутствовать влияние ожиданий поведения транспортного средства на общий уровень комфорта. Если автоматизированный автомобиль поведет себя не так, как ожидают пользователи, это безусловно приведет к дискомфорту.

Одной из проблем, которая характерна для автоматизированных транспортных средств, выступает потенциальное проявление морской болезни. В случае, если человек не занимается управляющей деятельностью или сидит спиной к движению в автоматизированных транспортных средствах, присутствует риск укачивания. По результатам экспериментов после 15 минут направленного взгляда с опущенной головой (обусловлено расположением средств отображения информации) 25% участников испытывали некоторый дискомфорт из-за укачивания. Через 35 минут это значение увеличилось до 50%. Для дисплеев, расположенных на уровне головы, число раздраженных составило почти вдвое меньше: 13% через 15 минут и 27% через 35 минут. Таким образом, некоторые решения, направленные на повышение комфорта, могут быть найдены с помощью правильного расположения средств отображения информации.

Отдельно стоит отметить то, что, помимо дискомфорта, укачивание может также представлять серьезную угрозу для работы в случае запроса на передачу управления.

Понятие комфорта. Важным аргументом в пользу использования автоматизированных функций на транспорте является обеспечение или повышение уровня комфорта. Продвижение автоматизированных функций как систем обеспечения комфорта, а не систем безопасности, указывает на то, что водитель по-прежнему несет ответственность за безопасность во время передвижения.

С повышением уровня автоматизации предоставление комфорта может заключаться не только в системах помощи водителю. Появление дополнительного комфорта обусловливается предоставлением человеку свободного от вождения времени с целью его более рационального использования. Свободное время дает человеку возможность отдохнуть от трудовой деятельности или заняться личными делами. Как в первом, так и во втором случае занятие второстепенной от вождения деятельностью связано с практически полным отвлечением внимания от процесса движения.

Комфорт включает в себя не только физический, но и психологический компонент и определяется как субъективное чувство приятного вождения/езды на автомобиле в отсутствие как физиологического, так и психологического стресса.

Физический комфорт связан с такими элементами, как вибрация транспортного средства или кресла, силы, действующие на тело (поперечное и продольное ускорение), конструкция кресла, его положение (настройки). Психологический комфорт относится к более субъективным ощущениям простоты или удобства.

Следует обратить внимание, что физический и психологический комфорт очень субъективны и зависят от конкретного человека. Большинство исследований, в которых упоминается комфорт вождения с помощью автоматизированных функций, не дают определения понятию комфорта.

Перечень компетенций водителя транспортного средства с высокой степенью автоматизации управления. Основной функцией водителя при управлении транспортным средством с высокой степенью автоматизации является функция по резервированию автоматики. В ходе анализа поступающей информации о состоянии системы (автомобиль-дорога-среда) и прогнозировании ее развития водитель должен быть готов к принятию сложных, ответственных решений.

Водитель обязан выполнять функцию по резервированию автоматики в изначально неизвестных и неопределенных ситуациях. На безопасность управления оказывают влияния следующие факторы:

— эргономическое несовершенство рабочего места;

— особые условия деятельности (дефицит времени и монотония, опасность для жизни, температурные и вибрационные нагрузки, неблагоприятный состав воздуха и др.), приводящие к снижению работоспособности и изменению функционального состояния водителя;

— недостаточный уровень профессиональной подготовленности;

— сложные социально-психологические условия организации поездки.

Данные факторы являются объективными предпосылками уменьшения надежности системы автомобиль–дорога–среда.

Осуществление водителем функции по резервированию транспортного средства с высокой степенью автоматизации управления затрудняется тем, что в автоматических режимах он исключается из непосредственного управления. Это приводит к снижению его активности, что является предпосылкой ошибочных действий при переходе к ручному режиму.

В процессе движения транспортного средства с высокой степенью автоматизации должны быть обеспечены быстрые переходы от одного режима к другому, что особенно важно при выполнении опасных маневров (выезд на нерегулируемое пересечение, проезд железнодорожных переездов, осуществление обгонов и др.). С точки зрения безопасности дорожного движения необходимо, чтобы осуществление опасных маневров не происходило неожиданно для водителя.

Двигаясь по дороге, водитель выполняет функцию слежения-регулирования. Он сохраняет величину заданного параметра, а также целенаправленно изменяет величину какого-либо из них. Во многих случаях командой для внесения дополнительных коррекций в управлении служит зрительный сигнал, точнее, величина его изменения по сравнению с нужным или заданным значением (процесс рассогласования). В ряде случаев управление транспортным средством осуществляется путем анализа информации, поступающей через слуховой анализатор.

Управление транспортного средства с высокой степенью автоматизации является частным случаем биомеханической системы водитель (оператор) — транспортное средство, в которой управляющей частью является водитель-оператор. При рассмотрении замкнутых систем управления с участием оператора необходимо учитывать накапливание отклонений (∆R), которые возникают в период между интервалами контроля параметров движения и приложением управляющего воздействия (∆t). Для обеспечения надлежащей точности системы управления ТС с участием водителя (оператора) следует выбирать определенную периодичность контроля.

Управление транспортного средства с высокой степенью автоматизации работает по принципу «слежение с преследованием» или по принципу «слежение с компенсацией».

В случае «слежение с преследованием» водитель-оператор видит величину входного и выходного сигнала. Задача заключается в том, чтобы свести к минимуму рассогласование между отметкой цели и расположением автомобиля. В случае слежения компенсаторного типа оператор видит только рассогласование между воздействием на органы управления транспортного средства и выходом (положением) системы.

Функция водителя в такой сложной системе управления сводится в основном к компенсаторному слежению по многим индикаторам, операциям контроля величины скоростного режима, положения автомобиля на дороге, соответствия заданному маршруту, обобщению результатов контроля и сравнению их с планом действия, выработке решений по переходу на ручное управление ТС и реализация этого решения через органы управления путем приложения соответствующего воздействия на них.

На данный момент необходимо пересмотреть задачи водителя в классическом их понимании исходя из изменения условий действия водителя-оператора. На 3-м уровне автоматизации водитель «выключается» из процесса активного управления автомобилем, но при этом он активирует функции оператора, контролируя процесс движения автомобиля. Повышение степени автоматизации управления транспортным средством требует от водителя-оператора высокой готовности к экстренным действиям. На данном этапе невозможно полностью исключить водителя из процесса управления транспортным средством, таким образом, мы рассматриваем существующие проблемы в рамках системы водитель–автомобиль–дорога–среда (ВАДС).

В общем случае систему ВАДС можно назвать недетерминированной. Недетерминированные системы характеризуются наличием в процессе управления непредвиденных ситуаций, при решении которых жесткая программа не способна удовлетворить потребности системы. В данных ситуациях, для того чтобы задача могла быть выполнена, необходимо вмешательство человека-оператора, принимающего то или иное решение. Решение, принятое водителем в процессе управления транспортным средством, должно удовлетворять условиям обеспечения безопасности дорожного движения. С точки зрения водителя-оператора транспортного средства с высокой степенью автоматизации, надежность системы ВАДС напрямую зависит не только от безошибочности его действий, но и от безотказной работы всех систем данного транспортного средства.

Есть ряд условий, предписывающих экстренный переход от автоматического режима к ручному управлению. Самое очевидное — это техническая неисправность какого-либо из элементов беспилотного ТС (лидары, камеры слежения) или непосредственно автомобиля. На данный момент у лидара отсутствует техническая возможность обеспечить 100% надежность в сложных дорожных условиях (туман, снегопад и т.п.). К сбою может привести поведение других участников дорожного движения, допускающих нарушения ПДД (превышение скоростного режима, обгон в неположенном месте и т.п.).

При неожиданно возникающей технической неисправности возникает вопрос о возможности водителя (оператора) перейти на ручное управление. Осуществляя только слежение, водитель-оператор может быть не готов с точки зрения психофизиологии принять управление транспортным средством на себя.

Таким образом, водитель-оператор выполняет некоторые функции, несвойственные водителю, управляющему транспортным средством с нулевым или первым уровнем автоматизации. К основным отличиям стоит отнести:

— высокая степень готовности включиться в процесс управления при возникновении нештатной ситуации;

— необходимость принятия решения в условиях ограниченного времени и при недостатке исходной информации;

— быстрая смена видов операторской деятельности.

К деятельности оператора-водителя транспортных средств с высокой степенью автоматизации предъявляются требования не только к основным навыкам управления транспортным средством, но и в большей степени к способности сохранять высокий уровень внимания, опыту водителя, умению моделировать и прогнозировать возможные варианты развития событий, психологической готовности принятия ответственных решений в экстремальных условиях.

Обеспечение психологического комфорта. Вне контекста процесса управления транспортным средством пребывание в зоне комфорта описывается как поведенческое состояние, в котором человек действует в нейтральном по отношению к тревоге состоянии с использованием ограниченного набора моделей поведения для обеспечения устойчивого уровня производительности, которое обычно сопровождается отсутствием чувства риска.

Относительно автоматизированных функций типичная мера психологического комфорта представляет собой некий субъективный признак простоты или удобства использования, связанный с тем, работает ли транспортное средство в соответствии с пожеланиями или представлениями пользователя. Психологический комфорт ощущается, когда водители чувствуют себя непринужденно и уверены в том, что автомобиль будет демонстрировать ожидаемое поведение и передвигаться в заданном направлении без потери контроля.

Поскольку автоматизированное вождение является относительно новым технологическим решением, то и число людей, задействованных в испытаниях, было незначительным. Автоматизированная система классифицируется по нескольким уровням, поэтому люди могут чувствовать себя некомфортно из-за неуверенности в предоставляемых системой возможностях.

Ожидания комфортного движения основываются на опыте ручного управления, а стили вождения в значительной мере зависят от поведенческих аспектов самих водителей. Исходя из этого положения возникает следующий вопрос: должно ли транспортное средство под управлением автоматизированной системы вести себя так же, как под управлением водителя?

Ранние исследования показали, что водители не хотят, чтобы автоматизированная система копировала их вождение. В исследованиях Де Гелдера показано явное разнообразие предпочтений между водителями в реальных ситуациях во время работы автоматизированной системы управления. Зачастую комфорт водителей находился не на самом высоком уровне при копировании системой их стиля вождения.

При наступлении какой-либо ситуации во время ручного управления водитель знает, что он будет делать. В случае автоматизированного транспортного средства водитель понимает, что будет делать система, только после того, как она начнет реагировать с соответствующей обратной связью. Иными словами, для осуществления смены полосы движения в автоматизированном режиме водителю необходимо обнаружить всю необходимую информацию о будущем маневре. Только в этом случае процесс смены полосы движения будет происходить в безопасном и комфортном режиме.

Одним словом, для снижения уровня неопределенности, стресса и психологического дискомфорта достаточно того, что автоматизированный автомобиль будет вести себя предсказуемо в соответствии с общими правилами дорожного движения.

Глава II.
МЕХАНИЗМ ТРАНСПОРТНОГО ПРЕСТУПЛЕНИЯ

§ 1. Понятие, элементы и общая характеристика механизма транспортного преступления

При определении механизма транспортного преступления необходимо исходить из характеристики транспорта. Железнодорожный, воздушный и водный транспорт представляют собой типичные полиэргатические системы, т. е. «физические, целенаправленные замкнутые системы, включающие в себя человека как главное, решающее звено»¹¹; автомобильный транспорт, как правило, — моноэргатическую систему. В литературе их еще называют социотехническими системами или системами «человек–машина» (СЧМ). В эргатической системе встречаются все формы взаимодействия объектов друг с другом, при этом человек влияет на складывающиеся в ней отношения.

Эргатические системы, имеющиеся на транспорте, отличаются между собой по количеству операторов, степени непрерывности участия человека в процессе управления, виду связи оператора с объектом управления.

По первому признаку выделяются моно- и полиэргатические системы. В первом случае их обслуживает один человек, во втором — коллектив операторов. Моноэргатических систем на транспорте, как правило, больше; они не изолированы друг от друга, выступают как соподчиненные или равнозначные элементы, в совокупности составляя полиэргатическую систему.

По степени непрерывности участия человека в управлении различаются системы, в которых оператор работает в режиме немедленного или отсроченного обслуживания. Управляющее воздействие на объект в первом случае совершается с учетом получаемой информации, оценки ситуации и т. д. Нарушение степени непрерывности в управляющем воздействии (когда управляющий субъект либо вообще «выпадает» из системы, либо допускает ошибки) может обусловить аварийность транспорта. Задача в этом случае заключается в выяснении причин ошибочных действий, что в свою очередь позволяет формулировать рекомендации, нацеленные на устранение дефектов поведения работника транспорта, усиление его «эксплуатационной» надежности.

В режиме так называемого отсроченного обслуживания действует большинство операторов автоматических систем управления. Но надо сказать, что нет раз и навсегда заданного режима, иногда они предусмотрены оба. Однако следует иметь в виду, что переход от одного режима к другому (в частности, от автоматического управления к ручному и наоборот) требует дополнительных усилий со стороны управляющего субъекта. Это объясняется тем, что для перехода к новому динамическому стереотипу сбора информации и сенсомоторной координации нужно определенное время. Изменяется и динамический стереотип преобразования потока поступающей информации в управляющее воздействие, а следовательно, повышается психофизиологическое напряжение¹², что иногда приводит к неблагоприятным последствиям.

В зависимости от того, находится ли оператор непосредственно на объекте управления или осуществляет управляющее воздействие на расстоянии, на транспорте выделяются системы прямого воздействия и системы с дистанционной связью.

Эргатические системы можно классифицировать и с других позиций, например, по роли и месту в них человека. От того, принимает ли субъект участие в выработке решения и формировании управляющего воздействия или он сам служит объектом, во многом зависит характер взаимоотношений между элементами системы. Определяющим может быть и тип задачи управления. Наконец, важной отправной точкой классификации служит число целей, для достижения которых предназначена эргатическая система. Это позволяет выделить два больших класса систем: одноцелевые и многоцелевые.

Все эргатические системы транспорта иерархические. Дело в том, что, осуществляя процесс управления, отдельные их части выполняют различные функции. Однако не только функции, но и этапы, на которых системы с помощью разнообразных средств и способов достигают цели управления, неравнозначны. Каждое предыдущее воздействие влечет за собой последующее: нет причины — не будет и следствия. Это основной принцип иерархических систем, построенных по признакам подчинения, важности отдельных этапов работы.

Главная проблема иерархических систем — координация действий по принятию решения. В любой из систем несколько подсистем нижнего уровня управляют отдельными процессами, составляющими общий процесс управления, и подчинены одной системе высшего уровня. Такие системы в качестве отдельных блоков или модулей входят в большие и сложные системы управления. Причем каждая подсистема нижнего уровня может представлять собой человеко-машинную систему, обладающую свободой действий при выборе управляющих решений в пределах своей компетенции.

Чтобы управляющее воздействие низших подсистем смогло привести к оптимальному решению задачи, подсистема вышестоящего уровня должна предварительно оптимизировать задаваемый набор критериев эффективности.

В эргатических системах влияние подсистемы высшего уровня на низшие чаще выражается в координации их деятельности. Управляющий субъект в иерархической эргатической системе может занимать любой уровень. Чем выше степень организованности, тем более сложна координация деятельности подсистем — основной вид управляющего воздействия в эргатических системах.

Таким образом, изучение транспорта как полиэргатической системы может и должно осуществляться как исследование единого функционального целого. При этом нельзя не учитывать, что при таком подходе криминология и уголовное право могут обогатиться за счет объединения технических дисциплин и наук о человеке и его трудовой деятельности, описания характеристик человека как компонента автоматизированной системы. Речь идет о процессах восприятия информации, принятия решений, исследовании движений и других эффекторных процессах, проблемах мотивации, готовности к деятельности, стрессах, коллективной деятельности операторов. С точки зрения обеспечения безопасности транспорта важное значение имеет изучение влияния монотонности операций, условий работы, физических факторов окружающей среды, биомеханических и физиологических факторов на управляющего субъекта.

Эти и другие аспекты безаварийного функционирования транспорта целесообразно исследовать в рамках механизма транспортного преступления. Правда, следует отметить: с одной стороны, криминологи признают, что более продуктивным в изучении детерминации преступного поведения является детальный анализ механизма совершения преступления, поскольку он предполагает выявление не только всего комплекса событий, явлений, процессов и свойств личности, но и их взаимодействия, а также роли каждого из факторов в преступлении¹³. С другой стороны, дефиниция механизма транспортного преступления представлена лишь в нескольких работах, между тем уголовно-правовой характеристике транспортных преступлений, в первую очередь автотранспортных, посвящено немалое количество исследований¹⁴.

Выработка указанного понятия имеет принципиальное значение. Она позволит не только очертить круг элементов, включаемых в механизм данного преступления, но главное, проникнуть в сущность исследуемого явления.

В литературе дается определение преступного поведения, под которым понимаются «…связи и взаимодействие внешних факторов объективной действительности и внутренних, психических процессов и состояний, детерминирующих решение совершить преступление, направляющих и контролирующих его исполнение»¹⁵. При этом преступное поведение представляется как процесс, протекающий в пространстве и во времени, включающий не только сами действия, изменяющие внешнюю среду, но и предшествующие им психологические явления и процессы, которые и определяют механизм противоправного поступка.

Из сказанного, на наш взгляд, видно, что, строго говоря, речь идет о «микромире» антиобщественных явлений, т. е. об обстоятельствах, характеризующих личность преступника и влияющих на формирование субъективных причин противоправного поведения. В это определение не включен «макромир», в котором возникают и действуют криминогенные факторы — социальные условия жизни людей, оказывающие влияние на их поведение.

Классификация механизмов преступного поведения также убеждают в этом. Выделяются четыре основные группы, связанные: 1) с деформацией потребностей и интересов личности; 2) с расхождением (противоречием) между потребностями (интересами) и возможностями субъекта; 3) с деформацией нравственных и правовых представлений, ценностных ориентаций и социальных установок личности; 4) с дефектами процесса принятия и осуществления решения.

Нетрудно заметить, что определение механизма преступного поведения и его классификация почти полностью ориентированы на умышленные преступления; они не охватывают деяния, совершаемые по неосторожности. Правда, некоторые авторы полагают, что характерным для преступления по неосторожности является механизм принятия ошибочного решения, суть которого состоит в неверной оценке (отсутствии предвидения) реально грозящих вредных последствий¹⁶.

Нам представляется неверным сводить всю совокупность криминогенных факторов неосторожных преступлений, в том числе и так называемой технической преступности, к неправильно принятому решению либо к недостаткам его исполнения. Очевидно, что механизм некоторых преступлений иной. Так, одной из причин аварий на железной дороге является то, что машинисты локомотивов засыпают во время работы. Причем среди ряда факторов, способствующих этому (не всегда разумная организация труда, недостатки профотбора и текущего контроля за состоянием здоровья и т. д.), особую роль играют обстоятельства, связанные с тенденциями развития железнодорожного транспорта: увеличение скорости движения и плавности хода, автоматизация труда машиниста. Первый фактор приводит к перегрузке зрительного анализатора большим потоком однообразной информации и развитию гипнотического состояния, а также к укачиванию из-за ритмичного мягкого воздействия на отолитовый аппарат. Вторая тенденция вызывает снижение объема активных мышечных операций машиниста, противодействующих укачиванию¹⁷.

Механизм преступления, совершенного машинистом в таком состоянии, никак не связан ни с принятием решения, ни с его исполнением. Поэтому профилактика подобных случаев в первую очередь должна быть направлена на нейтрализацию неблагоприятного влияния условий труда на человека.

Практика показывает, что неосторожные преступления в бытовой сфере могут иметь вообще другой механизм. Следовательно, необоснованно его сводить только к дефектам принятия и исполнения решения, хотя надо признать, что во многих случаях этот механизм превалирует.

В. Е. Квашис, анализируя приведенное нами определение механизма преступного поведения, обоснованно отмечает, что такая традиционная интерпретация вполне справедлива, однако она представляет лишь общую схему, наиболее приемлемую для определения механизма преступлений. В реальной действительности ее полнота может быть разной, и поэтому во многих случаях механизм неосторожного преступления действует в «сокращенном» или «свернутом» виде. Указав на то, что три первые группы механизмов преступного поведения имеют определенную общность с механизмом неосторожного преступления, который является классическим его типом механизмов, упомянутых в четвертой группе, В. Е. Квашис вступает в противоречие с самим собой, подтверждая далее вывод о дефектах принятия решения и действий как единственном механизме неосторожного преступления. Специфику неосторожных деяний он видит в таком взаимодействии объективного и субъективного, при котором неосторожное причинение вреда представляет собой противоречие между объективными требованиями ситуации, предъявляемыми к личности, и неадекватным субъективным восприятием ею данной ситуации. Это противоречие чаще всего и приводит к ошибочным решениям и виновным действиям¹⁸. Таким образом, на наш взгляд, В. Е. Квашис еще более сужает механизм неосторожного поведения, сводя его психологическую основу лишь к неправильной оценке объективной обстановки, предшествующей преступлению.

Принятие решения, как известно, — это психологический процесс, состоящий в выборе предпочтительного варианта поведения исходя из информации о ситуации и возможных последствиях. Согласно теории структуры деятельности, он состоит из трех этапов: подготовительного, основного и контрольного. Следовательно, может оказаться дефектным содержание любого из них, а не только оценка ситуации, как считает В. Е. Квашис. Кроме того, элементы механизма неосторожного преступления, совершаемого в области использования техники, нельзя сводить лишь к личности и ситуации. Сюда же относятся и сами технические системы, а также информационное обеспечение их функционирования.

В определении механизма преступного поведения встречаются ошибки и другого рода, обусловленные переносом проблем моделирования на криминологию, желанием построить схему человеческого поведения, «определить закодированную в мозгу модель потребного будущего». Так, по мнению Б. В. Волженкина, один и тот же человек, дважды попав в одинаковую ситуацию, всегда поступает одинаково¹⁹. Применительно к криминологии это означает: при определенных детерминантах совершение преступления так же необходимо, как необходимо всякое следствие, порожденное определенной причиной при определенных условиях. Иной подход означал бы, как считал автор, признание индетерминизма.

Позиция Б. В. Волженкина обоснованно подверглась критике. Б. С. Волков по этому поводу, в частности, писал: «В действительности не существует такой жесткой зависимости между факторами, детерминирующими и волю человека, и его поведение»²⁰. Поэтому не только один и тот же человек в одинаковых ситуациях поступает по-разному, но и разные люди в идентичных ситуациях действуют одинаково. Н. А. Стручков указывал, что детерминизм человеческого поведения нельзя сводить к механическому влиянию внешних, социальных условий на поведение человека, поскольку непосредственно оно подчиняется воле конкретного индивида²¹.

Детерминированность человеческого поведения происходит по-иному, нежели явления природы, она базируется на других основаниях²². Конкретный акт человеческой деятельности всегда обусловлен социально. Но ситуация порождает волевой акт не сама по себе, а лишь во взаимодействии с конкретной личностью. Совокупность индивидуальных свойств человека определяет содержание и направленность поступка. В этом проявляется особенность причинной обусловленности человеческого поведения. Последнее выступает не просто как результат воздействия объективных и субъективных факторов, а как сложный процесс, в котором внешние обстоятельства вначале интериоризуются, а только затем экстериоризуются.

Преступление — всегда волевой акт, но оно, по мнению А. М. Яковлева, совершается под воздействием объективных обстоятельств. Исходя из этого деяние складывается из ряда факторов, взаимодействующих между собой. Поэтому преступление — это «результат, конечный “продукт” определенного рода взаимодействия, имевшего место между личностью и окружающей средой, той средой, в которой и находят свое коренное “осязаемое” выражение факторы более общего, объективного характера»²³.

К решению проблемы механизма преступления Б. С. Волков подходил с позиции свободы выбора поведения человека. В целом разделяя концепцию А. М. Яковлева, автор подчеркивал взаимодействие объективных и субъективных обстоятельств, которые выражаются в том, что внешние условия (среда) обеспечивают возможность различного поведения. Но выбор поведения при этом остается за человеком. Только личность, опираясь на свое сознание и волю, решает, как поступить. Следовательно, имеется единство объективного и субъективного, которое в каждом отдельном случае выражает сущность антиобщественного деяния. Однако «поведение человека в обществе определяется не только силой детерминистического значения отдельных обстоятельств, но и нормами морали и права. Поэтому свобода волеизъявления для лиц, совершивших преступление, означает не только сознание обусловленной конкретными обстоятельствами возможности поступать по-другому, но и общественной опасности содеянного»²⁴.

Для изучения механизма совершения преступления предлагались и другие пути, в частности, основанные на исследовании криминологических аспектов вины. Так, Ф. Г. Гилязев считал целесообразным изучать вину по двум направлениям:

1) интраиндивидуалистскому, т. е. внутриличностному (индивид и его особенности, черты и свойства личности, ее установка);

2) интериндивидуалистскому, т. е. межличностному (с учетом этих отношений, закономерностей процесса взаимодействия людей)²⁵.

Таким образом, в концепции Ф. Г. Гилязева речь идет о взаимодействии социальной обстановки, оказывающей направленное воздействие на формирование и поведение личности, и самой личности.

Неосторожные преступления обладают специфическими чертами, отличающими их от умышленных посягательств. В криминологическом плане это отличие заключается, в первую очередь, в присущем только деяниям, совершаемым по неосторожности, механизме причинения общественно опасного последствия.

Механизм неосторожного транспортного преступления как разновидность неосторожного преступления вообще представляет собой динамический процесс, определенное взаимодействие элементов, его составляющих. Иначе говоря, это обобщенный «образ» посягательств на безопасное функционирование транспорта. Следовательно, необходимо, во-первых, выявить слагаемые этого образа (элементы механизма), во-вторых, определить их взаимодействие, в-третьих, показать данное взаимодействие в динамике.

Транспорт, являясь полиэргатической системой, включает в себя разные подсистемы. Элементами функционирования транспорта являются: а) техническая система; б) информационное обеспечение; в) ситуация; г) управляющий субъект.

Техническая система относится к числу сложных систем со всеми их отличительными признаками. На транспорте они представляют самостоятельный элемент взаимодействия, поэтому его нельзя относить к ситуации преступления. Если при умышленном деянии орудие, используемое для достижения преступного результата, по существу не имеет своего самостоятельного значения, то при совершении преступления по неосторожности техническая система приобретает исключительно важную роль в этиологии неосторожного преступления.

На основе изучения и обобщения неблагоприятных факторов, влекущих аварийность транспорта, вырабатываются соответствующие нормы предосторожности. Их функция — поставить действия работников транспорта в определенные рамки и тем самым установить границы безопасного поведения лиц, осуществляющих управление технической системой. Иначе говоря, создаются специальные правила предосторожности, которым придается юридическая сила. Нарушение данных правил может привести к тому, что техническая система выйдет из-под контроля управляющего субъекта и причинит вред.

На основании этого П. С. Дагель делал вывод, что «правила безопасности также входят в криминогенную ситуацию неосторожного преступления в качестве противодействующих факторов, призванных нейтрализовать имеющиеся в ситуации орудия опасности»²⁶. Такая постановка вопроса представляется безосновательной. Любые правила регламентируют деятельность кого-то или чего-то (на транспорте — работу соответствующих технических систем или оператора по их обслуживанию), поэтому было бы правильнее рассматривать их вместе с технической системой либо при анализе поведения личности. Кстати сказать, сам П. С. Дагель, когда ставил вопрос о том, почему правила безопасности не играют своей предупредительной роли, оказываются нарушенными, за ответом предлагал обращаться к личности нарушителя.

Роль транспортного средства в механизме умышленного и неосторожного преступления различна, неодинакова будет и степень «контролируемости» технической системы. При совершении преступления умышленно транспортное средство удерживается лицом в контролируемом им русле, а при преступной неосторожности — выходит из такого русла²⁷.

В работах, посвященных проблемам борьбы с аварийностью на транспорте, информационное обеспечение, как правило, не выделяется в качестве структурной части механизма преступления, его либо относят к орудиям преступления (П. С. Дагель), либо вообще о нем умалчивают (В. В. Лукьянов, В. Е. Квашис). И то и другое решение необоснованно принижает роль информационной системы в обеспечении безопасности транспорта, деятельность которого немыслима без современной, точной и многопрофильной информации.

Информационное обеспечение является неотъемлемой частью эксплуатации транспорта, поэтому его дефекты могут обусловить его аварийность, например, в результате необнаружения сигналов, их неправильного восприятия, неверной оценки, неадекватности выводов из полученной информации. Невозможно представить эксплуатацию, допустим, железнодорожного состава при отсутствии у машиниста какой-либо информации. Неотъемлемость информационного обеспечения от транспорта подтверждается конкретными исследованиями, судебной практикой по делам о преступлениях против безопасности движения или эксплуатации транспорта. Взаимодействуя с другими элементами (технической системой и ситуацией), отражая их состояние, информационное обеспечение, по существу, создает программу для интериоризации, способствуя отражению в сознании и мышлении человека внешней практической деятельности. Следовательно, экстериоризация, переход деятельности из внутреннего плана во внешние практические формы поведения, во многом зависят от совокупности воспринятой информации.

К механизму преступления традиционно относят ситуацию его совершения. Это и понятно: всякая человеческая деятельность протекает в конкретной обстановке, имеющей динамичный, развивающийся характер. Большинство авторов, исследовавших проблему механизма преступления, понимают ситуацию как сочетание условий и обстоятельств, создающих определенную обстановку, положение.

В. В. Панкратов и М. В. Самольянова предложили иное ее определение. По их мнению, ситуация неосторожного преступления охватывает: 1) лицо, виновное в совершении преступления; 2) жертву преступления; 3) источник повышенной опасности, находящийся в определенных отношениях с виновным лицом и жертвой преступления, пострадавшей физически или понесшей материальный ущерб. Сюда же авторы включают нормы поведения в обществе, нормативы обращения с источником повышенной опасности и другие правила.

В качестве первого элемента ситуации рассматривается источник потенциальной опасности. Они формулируют его комплексное понятие, выделяя в нем объективные и субъективные компоненты. К первым относят природные (физические) и технические качества и свойства, ко вторым — психофизические и биопсихические.

Вокруг источника опасности создается опасная зона, нахождение в которой вызывает реальную угрозу контакта с этим источником и требует от лиц, отвечающих за технические устройства, особого внимания, профессиональной грамотности, повышенного чувства ответственности. Виновный и жертва в ситуации взаимодействуют между собой и с источником повышенной опасности²⁸.

Позиция В. В. Панкратова и М. В. Самольяновой свидетельствует о том, что авторами, по существу, ситуация («целостная ситуация») отождествляется с механизмом преступления. В ее содержание вкладывается все то, что составляет объективные и субъективные детерминанты, взятые во взаимодействии и развитии. Вряд ли это целесообразно делать по ряду причин. Во-первых, вносится путаница в терминологию, в целом сложившуюся в теории криминологии, иначе — нарушается криминологический тезаурус. Во-вторых, поэлементный анализ механизма преступления, выявление содержания каждой из составляющих его частей, роли и значения в детерминации преступления позволяет глубже проникнуть в суть явления, лучше познать его. Наконец, в-третьих, необоснованным выглядит признание самостоятельным элементом механизма преступления потерпевшего (жертву). Достаточно сказать, что не во всех преступлениях он наличествует. А там, где потерпевший есть, его поведение полностью охватывается ситуацией как элементом механизма, являясь опасным фактором ситуации.

Ситуацию нельзя представить чем-то застывшим, статичным. Она может меняться и иногда довольно быстро. Особенно это присуще воздушному транспорту. Поэтому следует различать ситуации, предшествующие деятельности работника транспорта, и ситуации, возникшие в связи с его деятельностью. Они качественно различаются между собой, поэтому нужно говорить об интервальном состоянии ситуации или последовательности ситуаций.

В транспортном преступлении ситуация влияет как на выработку управляющего воздействия, так и на его исполнение. Ситуация «участвует» в непосредственном возникновении преступного последствия, в совокупности с характером транспортного средства, обусловливая его тяжесть.

Ситуация может развиваться в двух диаметрально противоположных направлениях. Будучи в изначальном состоянии неопасной, из-за воздействия различных факторов (шторм, поступление на борт искаженной информации о метеообстановке и т. д.) она может усложниться и в конечном счете привести к вредным последствиям. Иначе говоря, развитие ситуации будет отрицательным. В другом случае, хотя и имеется интервальное состояние ситуации, ее качество остается неизменным, если управляющий субъект не вмешивается в развитие события. И наконец, когда ситуация складывается аварийной еще до вмешательства человека, ее положительное развитие возможно, если работник транспорта обнаруживает аварийную ситуацию, опознает ее, производит выбор управляющего воздействия, осуществляет его, контролирует локализацию аварийной ситуации.

Иными словами, опасность как свойство ситуации может быть различной на разных этапах развития механизма транспортного преступления. Впрочем, если быть точным, то для неосторожности имеет принципиальное значение не столько объективное содержание ситуации, сколько субъективное восприятие ее работником транспорта.

Техническая система, информационное обеспечение деятельности транспорта и ситуация содержат опасность лишь в потенции. Возможность причинения вреда реально реализуется только поведением человека. Личностный фактор — основной в механизме совершения любого преступления, в том числе и транспортного.

Таким образом, в механизм транспортного преступления входят объективные (внешние) и субъективные (личностные) факторы. Первая группа обстоятельств, создавая опасность причинения вреда, отнюдь не лишает работника транспорта свободы выбора²⁹. Ситуация лишь предполагает различное поведение управляющего субъекта в создавшихся условиях, причем и такое, которое позволяет избежать аварии. В противном случае не может быть и речи о вине, а следовательно и о преступлении. В таких ситуациях имеет место либо непреодолимая сила, либо казус.

Элементы механизма преступления — техническую систему, информационное обеспечение, ситуацию и управляющего субъекта — надо рассматривать как факторы, взаимно влияющие друг на друга в рамках единого процесса, в конкретных условиях места и времени. Причем весьма значительны не только сами стороны взаимодействия, но и процессы их взаимосвязи и взаимообусловленности.

Механизм транспортного преступления может быть либо в развернутом, либо в свернутом виде (без интервальных ситуаций). По форме он содержит те же элементы, что и механизм правомерного поведения. Различаются они лишь по социальному содержанию личностного фактора.

Итак, механизм деятельности железнодорожного, воздушного, водного и автомобильного транспорта охватывает, как указывалось, техническую и информационную системы, ситуацию (ее еще называют внешней средой). Эксплуатирует технические системы работник транспорта — управляющий субъект. Развернутый механизм преступления в этом случае таков. Анализируя информацию от визуального наблюдения и полученную, например, от диспетчерских служб (управления движением), оценивая состояние технической системы и характер ситуации, управляющий субъект (пилот, капитан, штурман, машинист, водитель и т. д.) принимает решение. Оно может быть либо верным, либо ошибочным, неадекватным объективным обстоятельствам.

Тот или иной фактор, внешнее воздействие на техническую систему, отказ техники или дефекты в информационном обеспечении могут усложнить условия функционирования транспорта, вызвав новую ситуацию — сложную. Она в первую очередь характеризуется тем, что ухудшаются характеристики технической системы, влияющие на ее безопасность, а также увеличиваются психофизиологические нагрузки на лиц, управляющих транспортом. На этом этапе механизм функционирования транспорта дает лишь сбои, которые могут быть успешно ликвидированы. Таким образом, сложная ситуация может развиться, а может и не перейти в следующую ситуацию. Это зависит от ряда обстоятельств, в том числе от принятого субъектом оптимального управляющего воздействия.

Сложная ситуация при неблагоприятных факторах перерастает в экстремальную, когда заметно ухудшаются технические характеристики (например, остойчивость судна, его управляемость, плавучесть и т. д.), несколько параметров технической системы выходят за эксплуатационные ограничения, но при этом не достигают предельных ограничений или расчетных условий, существенно увеличивается психофизиологическая нагрузка на управляющего субъекта. Переход в следующую стадию может быть прерван своевременными и правильными действиями работников транспорта, изменениями режима работы технической системы, устранением дефектов в информационном обеспечении, эффективными мерами со стороны эргатического звена другого уровня.

Эта ситуация является как бы пограничной, разделяя механизм функционирования транспорта и механизм транспортного преступления. Кстати сказать, экстремальная ситуация характеризуется еще и тем, что именно на этом этапе в зависимости от поведения оператор (управляющий субъект) может трансформироваться в преступника.

Следующая ситуация — аварийная. Ее отличительными чертами являются выход технических характеристик за пределы ограничений или расчетных условий и чрезвычайное увеличение психофизиологической нагрузки на управляющего субъекта. На этом этапе появляется первое значимое в уголовно-правовом плане звено в цепочке причинно-следственной зависимости. Ее развитие может быть прервано действиями либо самого управляющего субъекта, либо иного лица. Возможность причинения вреда правоохраняемому объекту в обоих случаях не воплотится в реальность, но правовая оценка данной ситуации может быть различной.

Последняя ситуация — катастрофическая. При ее возникновении развитие причинной связи необратимо, предотвращение преступных последствий практически невозможно³⁰.

Изложенное позволяет сделать вывод: механизм транспортного преступления — это взаимосвязь и взаимодействие управляющего субъекта с технической системой, ее информационным обеспечением и ситуацией (внешними факторами), детерминирующими его поведение и влекущими нарушение безопасности функционирования железнодорожного, водного, воздушного и автомобильного транспорта³¹.

Наряду с криминологическим понятием механизма транспортного преступления следует выделять его уголовно-правовое понятие. В теории уголовного права постулируется: преступление причиняет вред общественным отношениям³². Однако механизм подобного воздействия на объект в литературе раскрывается по-разному. Применительно же к транспортным преступлениям он фактически лишь обозначен³³.

Транспортное преступление всегда поражает общественные отношения, характеризующие безопасность функционирования железных дорог, метрополитена, авиации и т. д. Естественно, если нет нарушения охраняемого законом объекта, если путем изменения общественных отношений, взятых под охрану уголовным законом, не причиняется вред безопасности транспорта, то нет и преступления. Так, некоторые деяния, вызывающие ухудшение эффективности использования транспортных средств, не образуют рассматриваемого преступления, поскольку в этом случае взятая под охрану безаварийность функционирования транспорта не терпит урона.

Вред, причиняемый транспортным преступлением, объективизируется в преступных последствиях, которые являются выражением его общественной опасности, связывает деяние с субъектом. Следовательно, преступное последствие — это опасное изменение, происшедшее в результате совершения деяния, в особом свойстве транспорта — его безопасности.

Преступление, посягая на безаварийное функционирование железных дорог, метрополитена, авиации и флота, автотранспорта, фактически причиняет имущественный, физический, моральный и организационный вред. Из этого положения, на наш взгляд, Ю. Е. Пермяков делает неверный вывод. Признание того, что преступление помимо нарушения общественных отношений наносит вред и действующей в обществе системе социальных норм, логически приводит к презюмированию еще одного объекта преступления, находящегося за чертой общественных отношений³⁴.

Вряд ли с этим можно согласиться. Дело в том, что преступными последствиями не исчерпывается социальный вред³⁵. Уголовный закон обозначает лишь возможные последствия, которые считает достаточными для наличия определенного состава преступления, оставляя иные, «нетипичные», за пределами юридической конструкции.

Е. А. Сухарев и А. Д. Горбуза, наоборот, выступили против того, что преступлением причиняется вред общественным отношениям. По их мнению, в реальной действительности ничего подобного не происходит. Общественным отношениям не может быть причинен имущественный ущерб, физические травмы или какой-либо иной урон. Преступлением повреждается или даже уничтожается какой-либо предмет, выступающий носителем определенных отношений. Но в связи с гибелью человека или уничтожением предмета общественные отношения не погибают и даже не повреждаются. «Естественные предметы и явления, а также люди преходящи, — пишут авторы, — они появляются, включаются в существующую систему общественных отношений и выбывают из нее. Сама же система общественных отношений, стабильная по отношению к ним, не может быть изменена в результате противоправных действий отдельных лиц»³⁶.

Отношения собственности (объект хищения) остаются в неизменном виде независимо от того, сколько бы раз ни совершались хищения и каким бы ни был при этом размер похищенного. Это доказывает, в частности, такой факт, как сохранение потерпевшим права собственности в отношении похищенного имущества. Точно так же при телесном повреждении не уничтожаются и не разрываются отношения неприкосновенности здоровья личности, они по-прежнему функционируют и охраняются уголовным законом. Если было бы иначе, то после нанесения телесного повреждения здоровье потерпевшего оказалось бы лишенным правовой защиты, поскольку уничтоженное или поврежденное отношение неприкосновенности здоровья не могло бы существовать.

Несостоятельность рассуждений Е. А. Сухарева и А. Д. Горбузы видится в следующем. Во-первых, авторы не учитывают иерархию существующих отношений. Приведя в негодность транспортное средство или пути сообщения, например, преступник воздействует не на все общественные отношения сразу, а лишь на те, которые принято считать непосредственным объектом преступления. В дальнейшем вред общественным отношениям распространяется либо как круги по воде, либо по цепочке. Будучи «заблокированным» воздействием преступления, «единица» отношения теряет связи с родственной группой или погранично лежащими отношениями. Это ведет к их дезорганизации, нарушению. Таким образом, выходит из строя уже целый блок отношений. Общественные отношения, являясь системным образованием, имея в себе ненормально функционирующий элемент, также терпят больший или меньший урон. Они, конечно же, не погибают, не уничтожаются. Общий объем остается неизменным, он лишь в той или иной мере теряет в качестве.

Кроме того, нельзя забывать, что общий объект преступления и сам по себе не охватывает всех общественных отношений, складывающихся в государстве. Уголовное право берет под охрану лишь малую долю того, что имеется, исходя из важности отношений, неэффективности иной правовой охраны и других обстоятельств.

Применительно к транспорту указанная схема выглядит следующим образом. Преступное деяние нарушает общественные отношения, характеризующие безопасность транспортного средства, его безаварийную эксплуатацию. Эти отношения входят в определенный вид отношений, являющихся частью таких отношений, как общественная безопасность, а последние — в генеральную совокупность, взятую под охрану уголовным правом.

Крушение судна, гибель самолета и т. п. в целом характеризуют безопасность отрасли, иначе говоря, состояние общественной безопасности в сфере функционирования транспорта. Чем чаще происходят чрезвычайные происшествия, чем чаще нарушается безаварийность железных дорог, авиации, флота и автотранспорта, тем больше поврежденных «единиц» охватывает общественная безопасность как совокупность отношений. А будучи в той или иной мере пораженной в результате аварийности транспорта, эта совокупность не может обеспечить нормальное функционирование других общественных отношений (по поводу безопасности человека, собственности, государства и т. д.). Как системное образование отношения общественной безопасности и в этом случае сохраняются, но уже в дестабилизированном виде.

Каков же механизм причинения вреда самим общественным отношениям? Одни ученые полагают, что они нарушаются непосредственно либо создается угроза причинения им вреда. Из подобной позиции исходит, например, Л. Л. Кругликов³⁷. Однако при таком взгляде на механизм не учитывается то, что объект преступления как общественное отношение неосязаем. Он недоступен для непосредственного воздействия. Поэтому механизм не может характеризоваться непосредственным нарушением общественного отношения.

Другие криминалисты причинение вреда объекту посягательства рассматривают как «нарушение, разрыв соответствующего общественного отношения, воспрепятствовавшее их свободному развитию или изменению его в направлении, противоречащем его социальному назначению»³⁸. Исходя из этого формулируется понятие последствия преступления. По мнению В. Н. Кудрявцева, это «предусмотренный уголовно-правовой нормой материальный или нематериальный вред, причиненный преступным действием (бездействием) объекту посягательства — охраняемым законом общественным отношениям и их участникам»³⁹. Таким образом, автор выделяет общественное отношение и его участников, иначе говоря, субъектов — носителей этих отношений, считая их однопорядковыми категориями, с чем трудно согласиться.

Согласно точке зрения Ю. Е. Пермякова, причинение вреда объекту возможен по трем основным направлениям (заметим, что дополнительные направления автор не выделяет). Во-первых, преступное деяние может непосредственно затруднить выполнение членами общества каких-либо социально полезных функций; во-вторых, преступное деяние может лишить общество каких-либо материальных предпосылок существования; в-третьих, преступное деяние воспрепятствует процессу воспроизводства социально одобряемых форм деятельности⁴⁰.

Автор исходит из культурологического подхода к объяснению механизма преступного воздействия на общественные отношения. Подобное решение, к сожалению, не наметило новые пути в выяснении способов нарушения общей системы общественных отношений, охраняемых уголовным правом. К тому же оно вызывает очень много вопросов. В частности, при выделении такого общего для всех преступлений объекта, как культура, остается неясным его соотношение с другими объектами, непонятна его роль в разрешении многих уголовно-правовых проблем (например, квалификации содеянного). Главное же заключается в том, что этот подход, как нам кажется, не раскрывает механизма нарушения конкретного общественного отношения. Однако не познав, каким образом наносится урон составляющему элементу, вряд ли можно объяснить это на уровне всей совокупности.

Общественные отношения в целом характеризуются как отношения между людьми, в какие бы сложные формы они ни воплощались. Само существование человека как личности возможно лишь в рамках определенной системы общественных отношений.

Будучи сложным структурным образованием, общественные отношения включают ряд элементов: во-первых, субъекты (участники отношений) — личность, общество, государство; во-вторых, взаимосвязь между субъектами, их деятельность или позиции по отношению друг к другу, определенные права и обязанности; в-третьих, социальные ценности, по поводу которых возникают общественные отношения (предмет отношений).

Безопасность функционирования транспорта (безаварийность движения или эксплуатации) по содержанию включает в себя комплексную характеристику железнодорожного, водного, воздушного и автомобильного транспорта, определяющую интегративную способность выполнять перевозки пассажиров и груза без угрозы для жизни людей, порчи (уничтожения) имущества⁴¹.

В структуре складывающихся отношений в первую очередь необходимо выделить предмет, по поводу которого они возникают. В качестве такового в данном случае выступают, исходя из содержания уголовно-правовых норм, во-первых, железнодорожный, воздушный, морской и внутренний водный транспорт, метрополитен (ст. 263 УК РФ); во-вторых, автомобиль, трамвай и другое механическое транспортное средство (ст. 264 УК РФ). Указанные предметы предопределяют характер общественных отношений.

В сфере безопасности функционирования транспорта предметом отношений не могут быть такие социальные ценности, как жизнь и здоровье людей, имущество и т. д. Если, скажем, лицо покушается на жизнь или здоровье потерпевшего, используя при этом транспортное средство, то тем самым нарушаются иные общественные отношения — неприкосновенность личности. Нельзя также квалифицировать как транспортное преступление посягательство, направленное на хищение или уничтожение имущества, хотя и принадлежащего транспортным организациям или гражданину (кроме деяний, прямо отнесенных законом к преступлениям против безопасности транспорта). В этом случае воздействие также направлено на ядро других отношений, поэтому подобные деяния относятся не к транспортным преступлениям, а к посягательствам против собственности.

Субъектом как элементом общественных отношений по безопасности транспорта, с одной стороны, выступают предприятия, организации, учреждения, а также граждане, причем не только те, кто заключил с транспортной организацией договор перевозки, но и любые другие лица, не находящиеся с ней в правовых отношениях. Специфика указанных отношений заключается и в том, что их субъектами может выступать неопределенный круг лиц. С другой стороны, субъектом отношения является транспортная организация — собственник транспортных средств и транспортной инфраструктуры.

Виновный, совершая преступление, вред объекту причиняет путем непосредственного воздействия на элементы отношений⁴². Однако особенность транспортного преступления предполагает воздействие не на любой элемент, а только на два: предмет отношения и деятельность. На практике встречаются оба случая. Разрушая, повреждая или приводя иным образом в негодное для эксплуатации состояние транспортного средства, путей сообщения, средств сигнализации или связи, любого другого транспортного оборудования, виновный тем самым воздействует на предмет отношений — безопасность транспорта. Отношение лица к обеспечению безопасности транспорта здесь не имеет значения. Деятельность же может быть нарушена лишь лицом, обязанным ее осуществлять, — работником транспорта.

В. Д. Филимонов наряду с известными видами объектов преступления предлагает выделить еще одно образование общественных отношений, которым якобы причиняется вред любым преступлением. «Это общественные отношения, обеспечивающие безопасность других охраняемых уголовным правом общественных отношений — … собственности, хозяйственных отношений, общественного порядка, нормальной деятельности государственного аппарата и др.»⁴³. Существование этого объекта автор объясняет тем, что каждое охраняемое уголовным правом отношение представляет собой социальное благо, которое вследствие этого становится предметом еще одного отношения. Оно устанавливается между государством, с одной стороны, и каждым отдельным человеком — с другой, порождается потребностью государства обеспечить неприкосновенность конкретных видов общественных отношений. Ей соответствует имеющаяся у каждого человека возможность воздержаться от совершения общественно опасных действий.

Указанные отношения имеют свою правовую форму. Так, если правовым выражением собственности являются правомочия по владению, пользованию и распоряжению имуществом, то правовым выражением отношений, обеспечивающих безопасность собственности, являются вытекающие из нормы уголовного права обязанности лица воздерживаться от действий, нарушающих эти правомочия, и право государства наказывать тех, кто не выполняет эту обязанность. Таким образом, делает вывод В. Д. Филимонов, каждое преступление посягает на два объекта: например, кража имущества — на собственность и ее безопасность.

Представляется, что выделение последнего объекта методологически неверно. Ошибка, на наш взгляд, заключается в том, что в ранг объекта возводятся не фактические общественные отношения, имеющиеся в государстве, а, по существу, уголовно-правовые, складывающиеся между преступником и государством в связи с совершением преступления.

Обобщая сказанное, можно сделать вывод: механизм транспортного преступления — это способ (путь) нарушения охраняемых уголовным законом общественных отношений. Он не идентичен способу совершения преступления как признаку его объективной стороны. Способ посягательства есть не что иное, как форма выражения вовне преступного деяния (он может характеризоваться и дополнительным действием). Иначе говоря, под способом преступления понимается совокупность приемов, методов, движений, используя которые виновный реализует свой замысел. Следовательно, это понятие намного уже механизма транспортного преступления в уголовно-правовом смысле, оно охватывает лишь его часть и в связи с этим не раскрывает пути причинения вреда объекту уголовно-правовой охраны. Механизм же преступления показывает, каким образом нарушаются общественные отношения, признанные объектом преступления.

В криминологическом плане механизм преступления раскрывает способ причинения социального вреда, который не всегда идентичен объему и тяжести уголовно-правового последствия.

Таким образом, основное различие рассматриваемых понятий заключается в следующем:

1) механизм транспортного преступления как криминологическое понятие намного шире, чем уголовно-правовое. Оно охватывает социально-психологические явления, характеризует такую взаимосвязь и взаимодействие элементов эргатической системы, которая приводит к нарушению особого свойства транспорта — его безопасности. Эти явления объективны и не зависят от законодательной характеристики преступления;

2) механизм преступления в уголовно-правовом смысле конкретизирует криминологический механизм преступления, показывая пути формирования преступных последствий как юридических категорий. В уголовно-правовое понятие включаются лишь юридически значимые обстоятельства, т. е. конститутивные признаки состава преступления. Они изменчивы, зависят от многих факторов, в том числе и законодательной техники.

При характеристике происшествия с участием беспилотника надо иметь в виду особенности функционирования транспортного средства, не предполагающего участие водителя в управлении автомобилем, а следовательно, и иной совокупности элементов механизма и их конфигурации. В этом случае непосредственно отсутствует управляющий субъект, но одновременно повышается значение информационной системы. Нарушение ее функционирования является основным фактором в этиологии аварийности высокоавтоматизированных транспортных средств.

§ 2. Информационная система «высокоавтоматизированное транспортное средство — дорожная инфраструктура»

Создание, эксплуатация и развитие ВАТС неизбежно требуют привлечения вычислительных ресурсов, хранилищ и каналов связи. Как и во всех информационно технологических инфраструктурах, в связи с этим повышение уровня функциональности и сетевого взаимодействия повышает вероятность атак на информационную безопасность.

Глубокая автоматизация создает и усиливает риски безопасности дорожного движения в силу появления новых векторов атак на транспортные системы и инфраструктуры, связанные с наличием уязвимостей программного обеспечения и каналов связи. Это делает крайне актуальным решение вопросов кибербезопасности при обеспечении безопасности дорожного движения.

При разработке и развитии ВАТС и дорожной инфраструктуры, сервисов для водителей необходимы существенные исследовательские усилия в выявление уязвимостей, создание методов снижения рисков, а также в выявление рисков компрометации транспортных средств и связанных с ними инфраструктур. Необходимо на регулярной основе осуществлять поддержку информационных систем ВАТС и ДИ экспертами информационной безопасности с целью снижения в том числе уязвимости в используемых технологиях, в том числе машинного обучения.

Типовая структура ИС «ВАТС — ДИ». Основными участниками (субъектами) взаимодействия в ИС «ВАТС — ДИ» являются:

1) регулятор — лицо, отвечающее за ведение нормативной базы системы, проведение экспертизы, контроль инфраструктуры и допуск операторов;

2) оператор, организатор движения — лицо, отвечающее за эксплуатацию и поддержку инфраструктуры, управление движением, оказанием услуг и сервисов;

3) производители систем, разработчики — лица, обеспечивающие создание инфраструктуры ИС «ВАТС — ДИ;

4) интеграторы, сервисные ИБ-службы — лица, обеспечивающие безопасность подсистем, входящих в состав ИС «ВАТС — ДИ»;

5) участник движения (он же — получатель услуг) — водитель ТС, пилот ВАТС, пешеход, сотрудники ГИБДД, организаторы движения, специальные службы, экстренные службы, пассажиры.

Структура взаимодействия внутри ИС «ВАТС — ДИ» представлена на рис. 14.

Рис. 14. Структура взаимодействия ИС «ВАТС — ДИ»

Основные элементы структуры ИС «ВАТС — ДИ» выступают:

— человек (водитель ВАТС, пешеход);

— ВАТС;

— инфраструктура участка дороги (системы геолокации, дорожные знаки, умные светофоры, системы оплаты проезда и парковок, системы контроля движения, системы оповещения и пр.);

— пользовательские сервисы (интернет, связь, прочие инфокоммуникации);

— сервисы экстренных служб;

— центры обработки данных (хранение метаданных, управление инфраструктурой участков дорог, администрирование сетей и пр.).

Типы коммуникаций ИС «ВАТС — ДИ». В общем виде можно рассмотреть следующие виды коммуникаций в указанном контуре.

1. Коммуникации «человек — ВАТС» (P2V).

Каналы обмена данными: беспроводные каналы связи (Bluetooth, Wi-Fi, LTE/5G-V2X), техническое зрение ВАТС, непосредственное управление движением.

Виды данных: видовая информация, голосовая информация, пользовательская мультимедиа-информация, платежная информация, управление движением.

2. Коммуникации «человек — инфраструктура участка дороги» (P2I).

Каналы обмена данными: беспроводные каналы связи (Bluetooth, Wi-Fi, LTE/5G-V2X).

Виды данных: видовая информация, голосовая информация, пользовательская мультимедиа-информация, геолокация, платежная информация,

3. Коммуникации «человек — человек» (P2P).

Каналы обмена данными: беспроводные каналы связи (Bluetooth, Wi-Fi, LTE/5G-V2X).

Виды данных: голосовая информация, пользовательская мультимедиа-информация, геолокация, платежная информация, видеоинформация.

4. Коммуникации «человек — пользовательские сервисы» (P2Is).

Каналы обмена данными: беспроводные каналы связи (Bluetooth, Wi-Fi, LTE/5G-V2X).

Виды данных: голосовая информация, пользовательская мультимедиа-информация, геолокация, платежная информация, видеоинформация.

5. Коммуникации «человек — экстренные службы» P2ES.

Каналы обмена данными: беспроводные каналы связи (LTE/5G-V2X).

Виды данных: геолокация, голосовая информация, графическая информация, информация о ЧП.

6. Коммуникации «ВАТС — инфраструктура участка дороги» (V2I).

Каналы обмена данными: техническое зрение ВАТС, техническое зрение инфраструктуры участка дороги (камеры видеонаблюдения с распознаванием лиц), беспроводные каналы связи (DSRC, LTE/5G-V2X).

Виды данных: информация об организации дорожного движения, информация сенсоров технического зрения (скорость движения, расстояние до объектов, информация о знаках регулирования движения, информация об обнаруженных объектах — авто, человек, преграды и пр.), геолокация, информация о техническом состоянии ВАТС, информация о техническом состоянии дорожного полотна, управляющие команды движением извне.

7. Коммуникации «ВАТС — ВАТС» (V2V).

Каналы обмена данными: техническое зрение ВАТС, беспроводные каналы связи (DSRC, Bluetooth).

Виды данных: информация об организации дорожного движения, информация сенсоров технического зрения, лидаров, радаров, геолокация, видеоинформация, управляющие командные последовательности.

8. Коммуникации «ВАТС — сервисы» (V2Is).

Каналы обмена данными: беспроводные каналы связи (DSRC, LTE/5G-V2X).

Виды данных: голосовая информация, пользовательская мультимедиа-информация, геолокация, видеоинформация, информация о техническом состоянии ВАТС, информация о техническом состоянии дорожного полотна.

9. Коммуникации «ВАТС — экстренные службы» (V2ES).

Каналы обмена данными: беспроводные каналы связи (LTE/5G-V2X), выделенный канал связи.

Виды данных: геолокация, голосовая информация, графическая информация, видовая информация, информация о ЧП, информация о техническом состоянии ВАТС, информация о техническом состоянии дорожного полотна.

10. Коммуникации «инфраструктура участка дороги — инфраструктура участка дороги» (I2I).

Каналы обмена данными: ВОЛС.

Виды данных: информация об организации дорожного движения, информация о техническом состоянии дорожного полотна, метаинформация об участниках дорожного движения.

11. Коммуникации «инфраструктура участка дороги — ЦОД» (I2D).

Каналы обмена данными: ВОЛС.

Виды данных: видеоинформация, информация об организации дорожного движения, информация о техническом состоянии дорожного полотна, метаинформация сенсоров технического зрения каждого участника движения, геолокация участников движения, информация о техническом состоянии ВАТС.

12. Коммуникации «инфраструктура участка дороги — сервисы» (I2S).

Каналы обмена данными: ВОЛС.

Виды данных: видеоинформация, информация об организации дорожного движения, информация о техническом состоянии дорожного полотна, статистическая информация об участниках дорожного движения.

13. Коммуникации «инфраструктура участка дороги — экстренные службы» (I2ES).

Каналы обмена данными: ВОЛС.

Виды данных: информация об организации дорожного движения, информация о техническом состоянии дорожного полотна, геолокация участников движения, информация о техническом состоянии ВАТС.

14. Коммуникации «ЦОД — ЦОД» (D2D).

Каналы обмена данными: ВОЛС.

Виды данных: информация об организации дорожного движения, информация о техническом состоянии дорожного полотна, метаинформация сенсоров технического зрения каждого участника движения, геолокация участников движения, информация о техническом состоянии ВАТС.

15. Коммуникации «разработчик — информационная система “ВАТС — ДИ”» (Dev2D).

Каналы обмена данными: беспроводные каналы связи (LTE/5G-V2X).

Виды данных: голосовая информация, информация о ЧП, информация о техническом состоянии субъекта информационной системы «ВАТС — ДИ», пользовательская мультимедиа-информация, доступ к информации сенсоров технического зрения, геолокации, управлению ВАТС.

16. Коммуникации «разработчик — экстренные службы» (Dev2ES).

Каналы обмена данными: беспроводные каналы связи (LTE/5G-V2X).

Виды данных: информация о ЧП, информация о техническом состоянии субъекта информационной системы «ВАТС — ДИ».

Классификация защищаемой информации в ИС «ВАТС — ДИ». В табл. 2 отражена классификация информации по ее виду и категории. Категорирование проведено по уровню автоматизации ВАТС, типу внутрисистемных коммуникации и используемых технологий связи.

Таблица 2

Идентификатор

Вид информации

Уровни автоматизации ВАТС

Тип коммуникации

Технологии связи

1

2

3

4

5

Д1

Голосовая информация

+

+

+

+

+

P2V, P2I, P2P, P2Is, P2ES, V2Is, V2ES, Dev2D

Bluetooth, Wi-Fi, LTE/5G-V2X

Д2

Пользовательская мультимедиа-информация

+

+

+

+

+

P2V, P2I, P2P, P2Is, V2Is, Dev2D

Bluetooth, Wi-Fi, LTE/5G-V2X, ВОЛС

Д3

Геолокация

±

+

+

+

+

P2V, P2I, P2P, P2Is, P2ES, V2I, V2V, V2Is, V2ES, I2D, I2ES, D2D, Dev2D, Dev2ES

Bluetooth, Wi-Fi, LTE/5G-V2X, ВОЛС С

Д4

Платежная информация

±

±

±

±

+

P2V, P2I, P2P, P2Is, Dev2D

DSRC, ВОСЛ

Д5

Сигналы и команды управления движением внутри ВАТС

±

+

+

+

+

P2V, V2V, Dev2D

Техническое зрение, DSRC, LTE/5G-V2X, CAN, FlexRay, MOST

Д6

Сигналы и команды управления движением, внешние к ВАТС

–

–

±

+

+

V2I, Dev2D

LTE/5G-V2X, DSRC

Д7

Информация о ЧП

+

+

+

+

+

P2ES, V2ES, Dev2D, Dev2ES, I2ES

LTE/5G-V2X

Д8

Информация об организации дорожного движения

–

–

±

+

+

V2I, V2V, I2I, I2D, I2S, I2ES, D2D, Dev2D

LTE/5G-V2X, DSRC, Техническое зрение

Д9

Информация сенсоров технического зрения

–

+

+

+

+

V2I, V2V, V2Is, I2D, Dev2D

LTE/5G-V2X, DSRC, Техническое зрение

Д10

Информация о техническом состоянии ВАТС

±

+

+

+

+

V2I, V2Is, V2ES, I2D, I2ES, D2D, Dev2D, Dev2ES

LTE/5G-V2X, DSRC, ВОЛС

Д11

Информация о техническом состоянии дорожного полотна

–

–

±

+

+

V2I, V2Is, V2ES, I2D, I2ES, D2D, Dev2D, Dev2ES

LTE/5G-V2X, DSRC, ВОЛС

Д12

Метаинформация об участниках дорожного движения

–

–

±

+

+

I2I, I2D, D2D

LTE/5G-V2X, ВОЛС

Д13

Статистическая информация об участниках дорожного движения

–

–

±

+

+

I2I, I2S, I2D, D2D

ВОЛС

Д14

Метаинформация сенсоров технического зрения каждого участника движения

–

–

±

+

+

I2D, D2D

ВОЛС

Д15

Видеоинформация

–

–

±

+

+

P2V, P2I, P2P, P2Is, V2V, V2Is, V2ES, D2D, Dev2D

LTE/5G-V2X, ВОЛС

Д16

Информация о техническом состоянии субъекта информационной системы «ВАТС — ДИ»

±

+

+

+

+

Dev2D, Dev2ES

LTE/5G-V2X

Меры обеспечения безопасности ИС «ВАТС — ДИ». Обеспечение ее безопасности является составной частью работ по созданию, модернизации, эксплуатации и вывода из эксплуатации подсистем ИС «ВАТС — ДИ». Подобного рода меры принимаются на всех стадиях ее жизненного цикла и включают:

а) установление требований к обеспечению безопасности;

б) разработку организационных и технических мер по обеспечению;

в) внедрение организационных и технических мер по обеспечению безопасности и ввод всех подсистем в эксплуатацию;

г) обеспечение безопасности всех подсистем ИС «ВАТС — ДИ» в ходе их эксплуатации;

д) обеспечение безопасности всех подсистем ИС «ВАТС — ДИ» при выводе из эксплуатации.

Результаты реализации мероприятий, проводимых для обеспечения безопасности ИС «ВАТС — ДИ» на стадиях ее жизненного цикла, подлежат документированию. Состав и формы документов определяются владельцами подсистем ИС «ВАТС — ДИ».

Для указанных подсистем, находящихся в эксплуатации, меры безопасности подлежат реализации в рамках модернизации или дооснащения подсистем безопасности. Последнее осуществляется для создания ИС «ВАТС — ДИ» с учетом имеющихся у владельцев подсистем планов по модернизации или дооснащению.

Установление требований к обеспечению безопасности. Задание требований к обеспечению безопасности осуществляется владельцами и/или разработчиками указанных подсистем. Сами требования разрабатываются в соответствии с имеющимся законодательством, моделью угроз безопасности и типа нарушителя, отраслевыми стандартами и лучшими практиками.

Требования к обеспечению безопасности включаются в техническое задание. Требования должны содержать:

а) цель и задачи обеспечения безопасности;

б) перечень нормативных правовых актов, методических документов и национальных стандартов;

в) перечень типов объектов защиты;

г) требования к организационным и техническим мерам, применяемым для обеспечения безопасности;

д) стадии создания подсистемы безопасности;

е) требования к применяемым программным и программно-аппаратным средствам, в том числе средствам защиты информации;

ж) требования к защите средств и систем, обеспечивающих функционирование подсистем ИС «ВАТС — ДИ»;

з) требования к информационному взаимодействию между объектами и подсистемами ИС «ВАТС — ДИ», а также иными информационными системами, автоматизированными системами управления или информационно-телекоммуникационными сетями,

и) требования к составу и содержанию документации, разрабатываемой в ходе создания подсистем ИС «ВАТС — ДИ».

В случае если подсистемы ИС «ВАТС — ДИ» создаются в рамках объекта капитального строительства, требования к обеспечению безопасности задаются застройщиком и оформляются в виде приложения к заданию на проектирование объекта капитального строительства.

При определении требований к обеспечению безопасности ИС «ВАТС — ДИ» учитываются положения организационно-распорядительных документов по обеспечению безопасности подсистем ИС «ВАТС — ДИ», разрабатываемых их владельцами.

Разработка организационных и технических мер по обеспечению безопасности ВАТС и ИС «ВАТС — ДИ». Разработка организационных и технических мер по обеспечению безопасности должна включать:

а) анализ угроз безопасности информации и разработку модели угроз безопасности информации или ее уточнение (при наличии);

б) проектирование подсистемы безопасности ВАТС/ИС «ВАТС — ДИ»;

в) разработку эксплуатационной документации на ИС «ВАТС — ДИ» в части обеспечения безопасности.

Разрабатываемые организационные и технические меры по обеспечению безопасности ИС «ВАТС–ДИ не должны оказывать негативного влияния на создание и функционирование системы.

При разработке указанных мер по обеспечению безопасности учитывается его информационное взаимодействие с иными объектами и подсистемами ВАТС/ИС «ВАТС — ДИ», информационными системами, автоматизированными системами управления или информационно-телекоммуникационными сетями.

Целью анализа угроз безопасности информации является определение возможных способов их реализации и последствий с учетом состава пользователей и их полномочий, программных и программно-аппаратных средств, взаимосвязей компонентов ВАТС/ИС «ВАТС — ДИ», информационными системами, автоматизированными системами управления, информационно-телекоммуникационными сетями (далее — архитектура ИС «ВАТС — ДИ»), а также особенностей функционирования.

Анализ угроз безопасности информации должен включать:

а) выявление источников угроз безопасности информации и оценку возможностей так называемых внешних и внутренних нарушителей;

б) анализ возможных уязвимостей подсистем ИС «ВАТС — ДИ» и его программных, программно-аппаратных средств;

в) определение возможных сценариев реализации угроз безопасности информации;

г) оценку возможных последствий от реализации угроз безопасности информации.

В качестве исходных данных для анализа угроз безопасности информации рекомендуется использовать банк данных угроз безопасности информации, который ведет ФСТЭК России, и аналогичные ресурсы профессиональных и отраслевых сообществ.

По результатам анализа угроз безопасности информации могут быть разработаны рекомендации по корректировке архитектуры ИС «ВАТС — ДИ» и организационно-распорядительных документов по безопасности подсистем ИС «ВАТС — ДИ», направленные на нейтрализацию угроз безопасности информации или снижение вероятности их реализации.

Проектирование подсистем безопасности должно осуществляться в соответствии с техническим заданием на создание подсистем ИС «ВАТС — ДИ» и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности с учетом модели угроз безопасности информации.

При проектировании подсистемы безопасности ИС «ВАТС — ДИ»:

а) определяются субъекты доступа (пользователи, процессы и иные субъекты доступа) и объекты доступа;

б) определяются виды управления доступом (дискреционная, мандатная, ролевая, комбинированная);

в) определяются и обосновываются организационные и технические меры, подлежащие реализации в рамках подсистемы безопасности ИС «ВАТС — ДИ»;

г) определяются виды и типы средств защиты информации, обеспечивающие реализацию технических мер по обеспечению безопасности;

д) осуществляется выбор средств защиты информации и (или) их разработка с учетом совместимости с программными и программно-аппаратными средствами, выполняемых функций безопасности и ограничений на эксплуатацию;

е) разрабатывается архитектура подсистемы безопасности ИС «ВАТС — ДИ», включающая состав, места установки, взаимосвязи средств защиты информации;

ж) определяются требования к параметрам настройки программных и программно-аппаратных средств, включая средства защиты информации, обеспечивающие реализацию мер по обеспечению безопасности, блокирование (нейтрализацию) угроз безопасности информации и устранение уязвимостей;

з) определяются меры по обеспечению безопасности при взаимодействии между объектами и подсистемами ИС «ВАТС — ДИ», информационными системами, автоматизированными системами управления или информационно-телекоммуникационными сетями.

Если в ходе проектирования подсистемы безопасности предусмотрена разработка программного обеспечения, в том числе программного обеспечения средств защиты информации, то она проводится в соответствии со стандартами безопасной ее разработки.

В целях тестирования подсистемы безопасности в ходе проектирования может осуществляться ее макетирование или создание тестовой среды. Тестирование должно быть направлено на:

— обеспечение работоспособности и совместимости выбранных средств защиты информации с программными и аппаратными средствами;

— практическую отработку выполнения средствами защиты информации функций безопасности;

— исключение влияния подсистемы безопасности на функционирование.

Макетирование подсистемы безопасности и ее тестирование могут проводиться с использованием средств и методов моделирования, а также применением технологий виртуализации.

При проектировании подсистемы безопасности ИС «ВАТС — ДИ», являющихся информационно-телекоммуникационными сетями, необходимо учитывать национальные и отраслевые требования и стандарты.

Разработка эксплуатационной документации осуществляется в соответствии с техническим заданием на подсистему ИС «ВАТС — ДИ» и техническим заданием на создание подсистемы безопасности.

Эксплуатационная документация должна содержать:

— описание архитектуры подсистемы безопасности;

— порядок и параметры настройки программных и программно-аппаратных средств, в том числе средств защиты информации;

— правила эксплуатации программных и программно-аппаратных средств, в том числе средств защиты информации (правила безопасной эксплуатации).

Внедрение организационных и технических мер по обеспечению безопасности ИС «ВАТС — ДИ» и ее подсистем. Ввод в действие. Внедрение организационных и технических мер по обеспечению безопасности организуется их владельцами в соответствии с проектной и эксплуатационной документацией, стандартами организации и включает:

а) установку и настройку средств защиты информации, настройку программных и программно-аппаратных средств;

б) разработку организационно-распорядительных документов, регламентирующих правила и процедуры обеспечения безопасности;

в) внедрение организационных мер по обеспечению безопасности;

г) предварительные испытания ИС «ВАТС — ДИ» и подсистемы безопасности;

д) опытную эксплуатацию ИС «ВАТС — ДИ» и ее подсистемы безопасности;

е) анализ уязвимостей ИС «ВАТС — ДИ» и принятие мер по их устранению;

ж) приемочные испытания подсистем ИС «ВАТС — ДИ» и ее подсистемы безопасности.

Установка и настройка средств защиты информации должна проводиться в соответствии с проектной и эксплуатационной документацией, а также согласно эксплуатационной документации на отдельные средства защиты информации. При установке и настройке средств защиты последней должно быть обеспечено выполнение ограничений на эксплуатацию этих средств защиты информации в случае их наличия в эксплуатационной документации.

Организационно-распорядительные документы по безопасности должны в том числе устанавливать правила безопасной работы работников, эксплуатирующих подсистемы ИС «ВАТС — ДИ», и работников, обеспечивающих функционирование ее подсистем, а также действия работников при возникновении нештатных ситуаций, в том числе вызванных компьютерными инцидентами.

При внедрении организационных мер по обеспечению безопасности осуществляются:

— организация контроля физического доступа к программно-аппаратным средствам ИС «ВАТС — ДИ» и ее линиям связи;

— реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа, и введение ограничений на действия пользователей, а также на изменение условий эксплуатации, состава и конфигурации программных и программно-аппаратных средств;

— проверка полноты и детальности описания в организационно-распорядительных документах по безопасности подсистем ИС «ВАТС — ДИ» действий пользователей и администраторов по реализации организационных мер;

— определение администратора безопасности ИС «ВАТС — ДИ»;

— отработка действий пользователей и администраторов по реализации мер по обеспечению безопасности.

Предварительные испытания ИС «ВАТС — ДИ» и ее подсистемы безопасности должны проводиться в соответствии с программой и методиками предварительных испытаний и включать проверку работоспособности подсистемы безопасности и отдельных средств защиты информации, оценку влияния подсистемы безопасности на функционирование при проектных режимах его работы, установленных проектной документацией, а также принятие решения о возможности опытной эксплуатации ИС «ВАТС — ДИ» и ее подсистемы безопасности.

Опытная эксплуатация ИС «ВАТС — ДИ» и ее подсистемы безопасности должна проводиться в соответствии с программой и методиками опытной эксплуатации и включать проверку функционирования подсистемы безопасности, в том числе реализованных организационных и технических мер, а также знаний и умений пользователей и администраторов, необходимых для эксплуатации ИС «ВАТС — ДИ» и ее подсистемы безопасности. По результатам опытной эксплуатации принимается решение о возможности (или невозможности) проведения приемочных испытаний.

Анализ уязвимостей ИС «ВАТС — ДИ» проводится в целях выявления недостатков в подсистеме безопасности и оценки возможности их использования для реализации угроз безопасности информации. При этом анализу подлежат уязвимости кода, конфигурации и архитектуры ИС «ВАТС — ДИ».

Анализ уязвимостей осуществляется для всех программных и программно-аппаратных средств, в том числе средств защиты информации.

При проведении анализа уязвимостей применяются следующие способы их выявления:

— анализ проектной, эксплуатационной документации и организационно-распорядительных документов по безопасности;

— анализ настроек программных и программно-аппаратных средств, в том числе средств защиты информации;

— выявление известных уязвимостей программных и программно-аппаратных средств, в том числе средств защиты информации, посредством анализа состава установленного программного обеспечения и обновлений безопасности с применением средств анализа защищенности и (или) иных средств защиты информации;

— выявление известных уязвимостей программных и программно-аппаратных средств, в том числе средств защиты информации, сетевых служб, доступных для сетевого взаимодействия, с применением средств анализа защищенности;

— тестирование на проникновение в условиях, соответствующих возможностям нарушителей, определенных в модели угроз безопасности информации.

Применение способов и средств выявления уязвимостей осуществляется владельцами подсистем ИС «ВАТС — ДИ» с учетом особенностей ее функционирования.

Допускается проведение анализа уязвимостей в тестовой зоне или макетах отдельных сегментов. Такой анализ осуществляется до ее ввода в эксплуатацию на этапах, определяемых владельцами. В случае выявления уязвимостей, которые могут быть использованы для реализации угроз безопасности информации, принимаются меры, направленные на их устранение или исключающие возможность эксплуатации нарушителем выявленных уязвимостей. По результатам анализа уязвимостей должно быть подтверждено, что в подсистемах ИС «ВАТС — ДИ» отсутствуют уязвимости или выявленные уязвимости не приводят к возникновению угроз безопасности информации в отношении системы.

В ходе приемочных испытаний ИС «ВАТС — ДИ» и ее подсистемы безопасности должен быть проведен комплекс организационных и технических мероприятий, в результате которых подтверждается соответствие самой системы и ее подсистемы безопасности сформированным требованиям по ИБ, а также условиям технического задания.

В качестве исходных данных при приемочных испытаниях используется модель угроз безопасности информации, техническое задание на создание, модернизацию, проектная и эксплуатационная документация на подсистемы ИС «ВАТС — ДИ», организационно-распорядительные документы по безопасности ее подсистем, результаты анализа уязвимостей, материалы предварительных испытаний и опытной эксплуатации, а также иные документы, разрабатываемые в соответствии с требованиями национальных, отраслевых и стандартов организации.

Приемочные испытания ИС «ВАТС — ДИ» и ее подсистемы безопасности проводятся в соответствии с программой и методикой приемочных испытаний. Результаты последних с выводом о ее соответствии установленным требованиям включаются в акт приемки ИС «ВАТС — ДИ» в эксплуатацию.

Ввод в эксплуатацию осуществляется при положительном заключении в акте приемки о соответствии ИС «ВАТС — ДИ» установленным требованиям по обеспечению безопасности.

Обеспечение безопасности ИС «ВАТС — ДИ» в ходе ее эксплуатации. Обеспечение безопасности в ходе эксплуатации ИС «ВАТС — ДИ» осуществляется владельцами подсистемы ИС «ВАТС — ДИ» в соответствии с эксплуатационной документацией и организационно-распорядительными документами по безопасности и должно включать реализацию следующих мероприятий:

— планирование мероприятий по обеспечению безопасности;

— анализ угроз безопасности информации ИС «ВАТС — ДИ» и последствий от их реализации;

— управление (администрирование) подсистемой безопасности;

— управление конфигурацией ИС «ВАТС — ДИ» и его подсистемой безопасности;

— реагирование на компьютерные инциденты в ходе эксплуатации;

— обеспечение действий в нештатных ситуациях в ходе эксплуатации;

— информирование и обучение персонала;

— контроль за обеспечением безопасности.

В ходе планирования мероприятий по обеспечению безопасности осуществляются:

а) определение лиц, ответственных за планирование и контроль мероприятий по обеспечению безопасности;

б) разработка, утверждение и актуализация плана мероприятий по обеспечению безопасности;

в) определение порядка контроля выполнения мероприятий по обеспечению безопасности, предусмотренных утвержденным планом.

В ходе анализа угроз безопасности информации ИС «ВАТС — ДИ» и возможных последствий их реализации осуществляются:

а) анализ уязвимостей ИС «ВАТС — ДИ», возникающих в ходе ее эксплуатации;

б) анализ изменения угроз безопасности информации, возникающих в ходе эксплуатации;

в) оценка возможных последствий реализации угроз безопасности информации.

Периодичность проведения указанных работ определяется владельцами подсистем ИС «ВАТС — ДИ» в организационно-распорядительных документах по безопасности подсистем ИС «ВАТС — ДИ» с учетом значимости подсистем и особенностей их функционирования.

В ходе администрирования подсистемой безопасности ИС «ВАТС — ДИ» осуществляются:

а) определение лиц, ответственных за администрирование подсистемой безопасности;

б) управление учетными записями пользователей и поддержание в актуальном состоянии правил разграничения доступа;

в) управление средствами защиты информации;

г) управление обновлениями программных и программно-аппаратных средств, в том числе средств защиты информации, с учетом особенностей функционирования;

д) централизованное управление подсистемой безопасности;

е) мониторинг и анализ зарегистрированных событий в ИС «ВАТС — ДИ», связанных с обеспечением безопасности (далее — события безопасности);

ж) сопровождение функционирования подсистемы безопасности в ходе ее эксплуатации, включая ведение эксплуатационной документации и организационно-распорядительных документов по безопасности.

В ходе управления конфигурацией ИС «ВАТС — ДИ» и ее подсистемы безопасности для целей обеспечения ее безопасности осуществляются:

а) определение лиц, которым разрешены действия по внесению изменений в конфигурацию ИС «ВАТС — ДИ» и ее подсистемы безопасности, и их полномочий;

б) определение компонентов ИС «ВАТС — ДИ» и ее подсистемы безопасности, подлежащих изменению в рамках управления конфигурации: программно-аппаратные, программные средства, включая средства защиты информации, и их настройки, и программный код, эксплуатационная документация, интерфейсы, файлы и иные компоненты, подлежащие изменению и контролю;

в) управление изменениями ИС «ВАТС — ДИ» и ее подсистемы безопасности: разработка параметров настройки, обеспечивающих безопасность, анализ потенциального воздействия планируемых изменений на обеспечение безопасности, санкционирование внесения изменений в подсистемы и ее подсистему безопасности, документирование действий по внесению изменений в подсистемы и сохранение данных об изменениях конфигурации;

г) контроль действий по внесению изменений в ИС «ВАТС — ДИ» и ее подсистему безопасности.

Реализованные процессы управления изменениями ИС «ВАТС — ДИ» и ее подсистемы безопасности должны охватывать процессы гарантийного и (или) технического обслуживания, в том числе дистанционного (удаленного), программных и программно-аппаратных средств, включая средства защиты информации, ИС «ВАТС — ДИ».

Для обеспечения действий в нештатных ситуациях при эксплуатации ИС «ВАТС — ДИ» осуществляются:

а) планирование мероприятий по обеспечению безопасности на случай возникновения нештатных ситуаций;

б) обучение и отработка действий персонала по обеспечению безопасности в случае возникновения нештатных ситуаций;

в) создание альтернативных мест хранения и обработки информации на случай возникновения нештатных ситуаций;

г) резервирование программных и программно-аппаратных средств, в том числе средств защиты информации, каналов связи на случай возникновения нештатных ситуаций;

д) обеспечение возможности восстановления компонентов ИС «ВАТС — ДИ» в случае возникновения нештатных ситуаций;

е) определение порядка анализа возникших нештатных ситуаций и принятия мер по недопущению их повторного возникновения.

В ходе информирования и обучения персонала ИС «ВАТС — ДИ» осуществляются:

а) информирование персонала об угрозах безопасности информации,
о правилах безопасной эксплуатации ИС «ВАТС — ДИ»;

б) доведение до персонала требований по обеспечению безопасности, а также положений организационно-распорядительных документов по безопасности подсистем ИС «ВАТС — ДИ» в части, их касающейся;

в) обучение персонала правилам эксплуатации отдельных средств защиты информации, включая проведение практических занятий с персоналом;

г) контроль осведомленности персонала об угрозах безопасности информации и уровня знаний персонала по вопросам обеспечения безопасности ИС «ВАТС — ДИ».

Периодичность проведения указанных мероприятий устанавливается владельцами подсистемы ИС «ВАТС — ДИ» в организационно-распорядительных документах по безопасности ИС «ВАТС — ДИ» с учетом категории значимости и особенностей ее функционирования.

В ходе контроля за обеспечением безопасности системы осуществляются:

а) анализ защищенности ИС «ВАТС — ДИ» с учетом особенностей его функционирования;

б) анализ и оценка функционирования ИС «ВАТС — ДИ» и ее подсистемы безопасности, включая анализ и устранение уязвимостей и иных недостатков в функционировании подсистемы безопасности ИС «ВАТС — ДИ»;

в) документирование процедур и результатов контроля за обеспечением безопасности ИС «ВАТС — ДИ»;

г) принятие решения по результатам контроля за обеспечением безопасности ИС «ВАТС — ДИ» о необходимости модернизации его подсистемы безопасности.

Обеспечение безопасности ИС «ВАТС — ДИ» при выводе из эксплуатации. Обеспечение безопасности при выводе ее из эксплуатации или после принятия решения об окончании обработки информации осуществляется владельцами подсистемы ИС «ВАТС — ДИ» в соответствии с эксплуатационной документацией на ее подсистемы и организационно-распорядительными документами по безопасности самой системы.

Обеспечение безопасности ИС «ВАТС — ДИ» при выводе из эксплуатации должно предусматривать:

а) архивирование информации, содержащейся в ИС «ВАТС–ДИ»;

б) уничтожение данных и остаточной информации с машинных носителей информации и (или) уничтожение машинных носителей информации;

в) уничтожение или архивирование данных об архитектуре и конфигурации;

г) архивирование или уничтожение эксплуатационной документации и организационно-распорядительных документов по безопасности.

Архивирование информации следует осуществлять в случае ее дальнейшего использования. Уничтожение данных и остаточной информации с машинных носителей производится при наличии одного из двух обстоятельств: обработки значимым объектом информации ограниченного доступа или в случае принятия такого решения владельцами подсистем ИС «ВАТС — ДИ». Это может быть и при необходимости передачи машинного носителя информации другому пользователю ИС «ВАТС — ДИ» или в иные организации для ремонта, технического обслуживания либо дальнейшего уничтожения.

При выводе из эксплуатации машинных носителей информации, на которых осуществлялись хранение и обработка информации, производится или физическое уничтожение самих машинных носителей информации, или уничтожение содержащейся на машинных носителях информации методами, не предусматривающими возможность ее восстановления.

Уничтожение данных и остаточной информации с машинных носителей информации подлежит документированию в соответствии с организационно-распорядительными документами по безопасности ИС «ВАТС — ДИ».

При выводе системы из эксплуатации должен быть осуществлен сброс настроек программных и программно-аппаратных средств, в том числе средств защиты информации, удалена информация, учетные записи пользователей, а также идентификационная и аутентификационная информация субъектов доступа.

При выводе ИС «ВАТС — ДИ» из эксплуатации вся эксплуатационная документация на подсистемы, в том числе безопасности, эксплуатационная документация на отдельные средства защиты информации подлежит архивному хранению.

По решению владельцев подсистем ИС «ВАТС — ДИ» эксплуатационная документация, а также организационно-распорядительные документы по безопасности могут быть уничтожены.

Требования к организационным и техническим мерам, принимаемым для обеспечения безопасности ИС «ВАТС — ДИ». Целью обеспечения безопасности системы является создание условий ее устойчивого функционирования в проектных режимах работы в условиях реализации угроз безопасности информации.

Задачами обеспечения безопасности являются:

а) предотвращение неправомерного доступа к информации, обрабатываемой значимым объектом, уничтожения такой информации, ее модифицирования, блокирования, копирования, предоставления и распространения, а также иных неправомерных действий в отношении такой информации;

б) недопущение информационного воздействия на программные и программно-аппаратные средства, в результате которого может быть нарушено и (или) прекращено функционирование системы;

в) обеспечение функционирования ИС «ВАТС — ДИ» в проектных режимах его работы в условиях воздействия угроз безопасности информации;

г) обеспечение возможности восстановления функционирования ИС «ВАТС — ДИ».

В самой системе объектами, подлежащими защите от угроз безопасности информации (объектами защиты), являются:

а) в информационных системах:

— информация, обрабатываемая в информационной системе;

— программно-аппаратные средства (в том числе машинные носители информации, автоматизированные рабочие места, серверы, телекоммуникационное оборудование, линии связи, средства обработки буквенно-цифровой, графической, видео- и речевой информации);

— программные средства, включая микропрограммное, общесистемное, прикладное программное обеспечение;

— средства защиты информации;

— архитектура и конфигурация информационной системы;

б) в информационно-телекоммуникационных сетях:

— информация, передаваемая по линиям связи;

— телекоммуникационное оборудование (в том числе программное обеспечение, система управления);

— средства защиты информации;

— архитектура и конфигурация информационно-телекоммуникационной сети;

в) в автоматизированных системах управления ВАТС:

— информация о параметрах управляемого объекта или процесса, управляющая информация, контрольно-измерительная информация с датчиков (лидаров, радаров и пр.), иная критически важная технологическая информация);

— программно-аппаратные средства (в том числе автоматизированные рабочие места, промышленные серверы, телекоммуникационное оборудование, линии связи, программируемые логические контроллеры, производственное, технологическое оборудование, исполнительные устройства;

— программные средства, в том числе микропрограммное, общесистемное, прикладное программное обеспечение;

— средства защиты информации;

— архитектура и конфигурация автоматизированной системы управления.

Обеспечение безопасности ИС «ВАТС — ДИ» достигается путем принятия совокупности организационных и технических мер, направленных на нейтрализацию угроз безопасности информации, реализация которых может привести к прекращению или нарушению функционирования подсистемы ИС «ВАТС — ДИ» и обеспечиваемого (управляемого, контролируемого) ею процесса, а также нарушению безопасности обрабатываемой информации (доступности, целостности, конфиденциальности информации).

Организационные и технические меры по обеспечению безопасности принимаются владельцами подсистем совместно с лицами, эксплуатирующими их. Меры по обеспечению безопасности выбираются и реализуются в ИС «ВАТС — ДИ» с учетом угроз безопасности информации применительно ко всем объектам и субъектам доступа на аппаратном, системном, прикладном и сетевом уровнях, в том числе в среде виртуализации.

Принимаемые организационные и технические меры по обеспечению должны соотноситься с мерами по промышленной, функциональной безопасности, иными мерами по обеспечению безопасности и обеспечивающего объекта или процесса. При этом меры по обеспечению безопасности ИС «ВАТС — ДИ» не должны оказывать отрицательного влияния на ее функционирование в проектных режимах работы.

В ИС «ВАТС — ДИ» в зависимости от их значимости и угроз безопасности информации необходимо реализовать следующие организационные и технические меры:

— идентификация и аутентификация (ИАФ);

— управление доступом (УПД);

— ограничение программной среды (ОПС);

— защита машинных носителей информации (ЗНИ);

— аудит безопасности (АУД);

— антивирусная защита (АВЗ);

— предотвращение вторжений (компьютерных атак) (СОВ);

— обеспечение целостности (ОЦЛ);

— обеспечение доступности (ОДТ);

— защита технических средств и систем (ЗТС);

— защита информационной (автоматизированной) системы и ее компонентов (ЗИС);

— планирование мероприятий по обеспечению безопасности (ПЛН);

— управление конфигурацией (УКФ);

— управление обновлениями программного обеспечения (ОПО);

— реагирование на инциденты информационной безопасности (ИНЦ);

— обеспечение действий в нештатных ситуациях (ДНС);

— информирование и обучение персонала (ИПО).

Технические меры по обеспечению безопасности в ИС «ВАТС — ДИ» реализуются посредством использования программных и программно-аппаратных средств, применяемых для обеспечения безопасности, — средств защиты информации (в том числе встроенных в общесистемное, прикладное программное обеспечение). При этом в приоритетном порядке подлежат применению средства защиты информации, встроенные в программное обеспечение и (или) программно-аппаратные средства подсистем ИС «ВАТС — ДИ».

Испытания средств защиты информации проводятся отдельно или в составе системы в соответствии с программой и методиками испытаний, утверждаемыми владельцами подсистем ИС «ВАТС — ДИ».

Функции безопасности средств защиты информации должны обеспечивать выполнение указанных требований.

В ИС «ВАТС — ДИ» не допускаются:

— наличие локального бесконтрольного доступа к программным и программно-аппаратным средствам, в том числе средствам зашиты информации, для обновления или управления со стороны лиц, не являющихся работниками организации — владельца подсистем ИС «ВАТС — ДИ»;

— передача информации, в том числе технологической информации, разработчику программных и программно-аппаратных средств, включая средства защиты информации, или иным лицам без контроля со стороны организации — владельца подсистем ИС «ВАТС — ДИ».

Меры по обеспечению безопасности ИС «ВАТС — ДИ». При определении мер по обеспечению безопасности необходимо учитывать требования национального законодательства, лучших отраслевых практик. При этом следуют рассмотреть целесообразность их применения из следующего перечня возможных мер (см. табл. 3).

Таблица 3

Перечень мер по обеспечению безопасности ИС «ВАТС — ДИ»

Обозначение и номер меры

Меры обеспечения безопасности ИС «ВАТС — ДИ»

I. Идентификация и аутентификация (ИАФ)

ИАФ.0

Регламентация правил и процедур идентификации и аутентификации

ИАФ.1

Идентификация и аутентификация пользователей и инициируемых ими процессов

ИАФ.2

Идентификация и аутентификация устройств

ИАФ.3

Управление идентификаторами

ИАФ.4

Управление средствами аутентификации

ИАФ.5

Идентификация и аутентификация внешних пользователей

ИАФ.6

Двусторонняя аутентификация

ИАФ.7

Защита аутентификационной информации при передаче

II. Управление доступом (УПД)

УПД.0

Регламентация правил и процедур управления доступом

УПД.1

Управление учетными записями пользователей

УПД.2

Реализация модели управления доступом

УПД.3

Доверенная загрузка

УПД.4

Разделение полномочий (ролей) пользователей

УПД.5

Назначение минимально необходимых прав и привилегий

УПД.6

Ограничение неуспешных попыток доступа в информационную (автоматизированную) систему

УПД.7

Предупреждение пользователя при его доступе к информационным ресурсам

УПД.8

Оповещение пользователя при успешном входе о предыдущем доступе к информационной (автоматизированной) системе

УПД.9

Ограничение числа параллельных сеансов доступа

УПД.10

Блокирование сеанса доступа пользователя при неактивности

УПД.11

Управление действиями пользователей до идентификации и аутентификации

УПД.12

Управление атрибутами безопасности

УПД.13

Реализация защищенного удаленного доступа

УПД.14

Контроль доступа из внешних информационных (автоматизированных) систем

III. Ограничение программной среды (ОПС)

ОПС.0

Регламентация правил и процедур ограничения программной среды

ОПС.1

Управление запуском (обращениями) компонентов программного обеспечения

ОПС.2

Управление установкой (инсталляцией) компонентов программного обеспечения

ОПС.3

Управление временными файлами

ЗНИ.0

Регламентация правил и процедур защиты машинных носителей информации

ЗНИ.1

Учет машинных носителей информации

ЗНИ.2

Управление физическим доступом к машинным носителям информации

ЗНИ.3

Контроль перемещения машинных носителей информации за пределы контролируемой зоны ДИ

ЗНИ.4

Исключение возможности несанкционированного чтения информации на машинных носителях информации

ЗНИ.5

Контроль использования интерфейсов ввода (вывода) информации на съемные машинные носители информации

ЗНИ.6

Контроль ввода (вывода) информации на съемные машинные носители информации

ЗНИ.7

Контроль подключения съемных машинных носителей информации

ЗНИ.8

Уничтожение информации на машинных носителях информации

V. Аудит безопасности (АУД)

АУД.0

Регламентация правил и процедур аудита безопасности

АУД.1

Инвентаризация информационных ресурсов

АУД.2

Анализ уязвимостей и их устранение

АУД.3

Генерирование временных меток и (или) синхронизация системного времени

АУД.4

Регистрация событий безопасности

АУД.5

Контроль и анализ сетевого трафика

АУД.6

Защита информации о событиях безопасности

АУД.7

Мониторинг безопасности

АУД.8

Реагирование на сбои при регистрации событий безопасности

АУД.9

Анализ действий отдельных пользователей

АУД.10

Проведение внутренних аудитов

АУД.11

Проведение внешних аудитов

VI. Антивирусная защита (АВЗ)

АВЗ.0

Регламентация правил и процедур антивирусной защиты

АВЗ.1

Реализация антивирусной защиты

АВЗ.2

Антивирусная защита электронной почты и иных сервисов

АВЗ.3

Контроль использования архивных, исполняемых и зашифрованных файлов

АВЗ.4

Обновление базы данных признаков вредоносных компьютерных программ (вирусов)

АВЗ.5

Использование средств антивирусной защиты различных производителей

VII. Предотвращение вторжений (компьютерных атак) (СОВ)

СОВ.0

Регламентация правил и процедур предотвращения вторжений (компьютерных атак)

СОВ.1

Обнаружение и предотвращение компьютерных атак

СОВ.2

Обновление базы решающих правил

VIII. Обеспечение целостности (ОЦЛ)

ОЦЛ.0

Регламентация правил и процедур обеспечения целостности

ОЦЛ.1

Контроль целостности программного обеспечения

ОЦЛ.2

Контроль целостности информации

ОЦЛ.3

Ограничения по вводу информации в информационную (автоматизированную) систему

ОЦЛ.4

Контроль данных, вводимых в информационную (автоматизированную) систему

ОЦЛ.5

Контроль ошибочных действий пользователей по вводу и (или) передаче информации и предупреждение пользователей об ошибочных действиях

ОЦЛ.6

Обезличивание и (или) деидентификация информации

IX. Обеспечение доступности (ОДТ)

ОДТ.0

Регламентация правил и процедур обеспечения доступности

ОДТ.1

Использование отказоустойчивых технических средств

ОДТ.2

Резервирование средств и систем

ОДТ.3

Контроль безотказного функционирования средств и систем

ОДТ.4

Резервное копирование информации

ОДТ.5

Обеспечение возможности восстановления информации

ОДТ.6

Обеспечение возможности восстановления программного обеспечения при нештатных ситуациях

ОДТ.7

Кластеризация информационной (автоматизированной) системы

ОДТ.8

Контроль предоставляемых вычислительных ресурсов и каналов связи

X. Защита технических средств и систем (ЗТС)

ЗТС.0

Регламентация правил и процедур защиты технических средств и систем

ЗТС.1

Защита информации от утечки по техническим каналам

ЗТС.2

Организация контролируемой зоны ДИ

ЗТС.3

Управление физическим доступом

ЗТС.4

Размещение устройств вывода (отображения) информации, исключающее ее несанкционированный просмотр

ЗТС.5

Защита от внешних воздействий

ЗТС.6

Маркирование аппаратных компонентов системы относительно разрешенной к обработке информации

XI. Защита информационной системы и ее компонентов

ЗИС.0

Регламентация правил и процедур защиты информационной системы и ее компонентов

ЗИС.1

Разделение функций по управлению и администрированию информационной системой с иными функциями

ЗИС.2

Защита периметра информационной (автоматизированной) системы

ЗИС.3

Эшелонированная защита информационной (автоматизированной) системы

ЗИС.4

Сегментирование информационной (автоматизированной) системы

ЗИС.5

Организация демилитаризованной зоны

ЗИС.6

Управление сетевыми потоками

ЗИС.7

Использование эмулятора среды функционирования программного обеспечения («песочница»)

ЗИС.8

Сокрытие архитектуры и конфигурации информационной (автоматизированной) системы

ЗИС.9

Создание гетерогенной среды

ЗИС.10

Использование программного обеспечения, функционирующего в средах различных операционных систем

ЗИС.11

Предотвращение задержки или прерывания выполнения процессов с высоким приоритетом со стороны процессов с низким приоритетом

ЗИС.12

Изоляция процессов (выполнение программ) в выделенной области памяти

ЗИС.13

Защита неизменяемых данных

ЗИС.14

Использование неперезаписываемых машинных носителей информации

ЗИС.15

Реализация электронного почтового обмена с внешними сетями через ограниченное количество контролируемых точек

ЗИС.16

Защита от спама

ЗИС.17

Защита информации от утечек

ЗИС.18

Блокировка доступа к сайтам или типам сайтов, запрещенных к использованию

ЗИС.19

Защита информации при ее передаче по каналам связи

ЗИС.20

Обеспечение доверенных канала, маршрута

ЗИС.21

Запрет несанкционированной удаленной активации периферийных устройств

ЗИС.22

Управление атрибутами безопасности при взаимодействии с иными информационными (автоматизированными) системами

ЗИС.23

Контроль использования мобильного кода

ЗИС.24

Контроль передачи речевой информации

ЗИС.25

Контроль передачи видеоинформации

ЗИС.26

Подтверждение происхождения источника информации

ЗИС.27

Обеспечение подлинности сетевых соединений

ЗИС.28

Исключение возможности отрицания отправки информации

ЗИС.29

Исключение возможности отрицания получения информации

ЗИС.30

Использование устройств терминального доступа

ЗИС.31

Защита от скрытых каналов передачи информации

ЗИС.32

Защита беспроводных соединений

ЗИС.33

Исключение доступа через общие ресурсы

ЗИС.34

Защита от угроз отказа в обслуживании (DOS, DDOS-атак)

ЗИС.35

Управление сетевыми соединениями

ЗИС.36

Создание (эмуляция) ложных компонентов информационных (автоматизированных) систем

ЗИС.37

Перевод информационной (автоматизированной) системы в безопасное состояние при возникновении отказов (сбоев)

ЗИС.38

Защита информации при использовании мобильных устройств

ЗИС.39

Управление перемещением виртуальных машин (контейнеров) и обрабатываемых на них данных

XII. Обнаружение инцидентов

ИНЦ.0

Регламентация правил и процедур реагирования на компьютерные инциденты

ИНЦ.1

Выявление компьютерных инцидентов

ИНЦ.2

Информирование о компьютерных инцидентах

ИНЦ.3

Анализ компьютерных инцидентов

ИНЦ.4

Устранение последствий компьютерных инцидентов

ИНЦ.5

Принятие мер по предотвращению повторного возникновения компьютерных инцидентов

ИНЦ.6

Хранение и защита информации о компьютерных инцидентах

XIII. Управление конфигурацией (УКФ)

УКФ.0

Регламентация правил и процедур управления конфигурацией информационной (автоматизированной) системы

УКФ.1

Идентификация объектов управления конфигурацией

УКФ.2

Управление изменениями

УКФ.3

Установка (инсталляция) только разрешенного к использованию программного обеспечения

УКФ.4

Контроль действий по внесению изменений

XIV. Управление обновлениями программного обеспечения (ОПО)

ОПО.0

Регламентация правил и процедур управления обновлениями программного обеспечения

ОПО.1

Поиск, получение обновлений программного обеспечения от доверенного источника

ОПО.2

Контроль целостности обновлений программного обеспечения

ОПО.3

Тестирование обновлений программного обеспечения

ОПО.4

Установка обновлений программного обеспечения

XV. Планирование мероприятий по обеспечению безопасности (ПЛН)

ПЛН.0

Регламентация правил и процедур планирования мероприятий по обеспечению защиты информации

ПЛН.1

Разработка, утверждение и актуализация плана мероприятий по обеспечению защиты информации

ПЛН.2

Контроль выполнения мероприятий по обеспечению защиты информации

XVI. Обеспечение действий в нештатных ситуациях (ДНС)

ДНС.0

Регламентация правил и процедур обеспечения действий в нештатных ситуациях

ДНС.1

Разработка плана действий в нештатных ситуациях

ДНС.2

Обучение и отработка действий персонала в нештатных ситуациях

ДНС.3

Создание альтернативных мест хранения и обработки информации на случай возникновения нештатных ситуаций

ДНС.4

Резервирование программного обеспечения, технических средств, каналов связи на случай возникновения нештатных ситуаций

ДНС.5

Обеспечение возможности восстановления информационной (автоматизированной) системы в случае возникновения нештатных ситуаций

ДНС.6

Анализ возникших нештатных ситуаций и принятие мер по недопущению их повторного возникновения

XVII. Информирование и обучение персонала (ИПО)

ИПО.0

Регламентация правил и процедур информирования и обучения персонала

ИПО.1

Информирование персонала об угрозах безопасности информации и о правилах безопасной работы

ИПО.2

Обучение персонала правилам безопасной работы

ИПО.3

Проведение практических занятий с персоналом по правилам безопасной работы

ИПО.4

Контроль осведомленности персонала об угрозах безопасности информации и о правилах безопасной работы

Угрозы безопасности. В целях выработки требований к мерам по обеспечению безопасности и формирования систематизированного перечня угроз безопасности при их обработке в ИС «ВАТС — ДИ» и разработке на их основе частных моделей угроз применительно к конкретному типу ее подсистемы угрозы классифицируются в соответствии со следующими признаками:

а) по виду защищаемой информации;

б) по видам возможных источников угроз;

в) по типу подсистемы, на которые направлена атака;

г) по используемой уязвимости;

д) по объекту воздействия;

е) по способу реализации угрозы безопасности;

ж) по видам несанкционированного доступа.

Классификация по видам защищаемой информации проводится в соответствии с табл. 2.

По видам возможных источников угроз выделяются следующие классы:

— угрозы, связанные с преднамеренными или непреднамеренными действиями лиц, имеющих доступ к ИС «ВАТС — ДИ», включая пользователей, реализующих угрозы непосредственно в контуре ВАТС (так называемый внутренний нарушитель);

— угрозы, связанные с преднамеренными или непреднамеренными действиями лиц, не имеющих доступа к ИС «ВАТС — ДИ», реализующих угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена (так называемый внешний нарушитель).

Кроме того, угрозы могут возникать в результате внедрения аппаратных закладок и вредоносных программ.

По типу подсистем ИС «ВАТС — ДИ», на которые направлен вектор угрозы безопасности, выделяются следующие классы угроз:

— угрозы безопасности информации, обрабатываемой в локальном контуре ВАТС;

— угрозы безопасности информации, обрабатываемой в контуре ВАТС, — управляющие устройства без использования сетей общего пользования;

— угрозы безопасности информации, обрабатываемой в контуре ВАТС, — управляющие устройства с подключением к сетям общего пользования (к сети международного информационного обмена);

— угрозы безопасности информации, обрабатываемой в контуре ИС «ВАТС — ДИ», без подключения к сетям международного информационного обмена;

— угрозы безопасности информации, обрабатываемой в ДИ на базе распределенных информационных систем, без подключения к сети общего пользования (к сети международного информационного обмена);

— угрозы безопасности информации, обрабатываемой в ДИ на базе распределенных информационных систем, с подключением к сети общего пользования (к сети международного информационного обмена).

По используемой уязвимости выделяются следующие классы угроз:

— реализуемые с использованием уязвимости системного ПО;

— реализуемые с использованием уязвимости прикладного ПО;

— возникающие в результате использования уязвимости, вызванной наличием в аппаратных устройствах аппаратной закладки;

— реализуемые с использованием уязвимостей протоколов сетевого взаимодействия и каналов передачи данных;

— возникающие в результате использования уязвимости, вызванной недостатками организации технической защиты информации;

— реализуемые с использованием уязвимостей, обусловливающих наличие технических каналов компрометации информации;

— реализуемые с использованием уязвимостей средств защиты информации.

По объекту воздействия выделяются следующие классы угроз:

— угрозы безопасности информации, обрабатываемой в управляющей системе ВАТС;

— угрозы безопасности информации, обрабатываемой в выделенных средствах сбора (датчики) и обработки информации (лидары, радары и пр.);

— угрозы безопасности информации, передаваемой по сетям связи, в том числе беспроводным;

— угрозы прикладным программам, с помощью которых обрабатываются данные;

— угрозы системному ПО, обеспечивающему функционирование ВАТС;

— угрозы безопасности информации, обрабатываемой в ДИ;

— угрозы прикладным программам, с помощью которых обрабатываются данные в ДИ;

— угрозы системному ПО, обеспечивающему функционирование ДИ.

Реализация одной из УБ перечисленных классов или их совокупности может привести к следующим типам последствий для участников дорожного движения:

— значительным негативным последствиям (вред жизни, здоровью);

— негативным последствиям (нанесение финансового ущерба, повреждение имущества);

— незначительным негативным последствиям.

По способам реализации угроз безопасности выделяются следующие классы угроз:

— угрозы, связанные с компрометацией информации (в том числе угрозы внедрения вредоносных программ);

— угрозы утечки данных по техническим каналам утечки информации.

Угрозы, связанные с компрометацией информации (далее — угрозы компрометации). Представляются в виде совокупности обобщенных классов возможных источников угроз, уязвимостей программного и аппаратного обеспечения, способов реализации угроз, объектов воздействия (носителей защищаемой информации, директориев, каталогов, файлов, пакетов данных) и возможных деструктивных действий.

Угрозы утечки данных по техническим каналам. Основными элементами описания угроз компрометации информации по техническим каналам (УКИТК) признаются: источник угрозы, среда (путь) распространения информативного сигнала и носитель защищаемой информации.

Источниками угроз утечки информации по техническим каналам являются физические лица, не имеющие доступа к ИС «ВАТС — ДИ», а также зарубежные спецслужбы или организации (в том числе конкурирующие или террористические), криминальные группировки, осуществляющие перехват (съем) информации с использованием технических средств ее регистрации, приема или фотографирования.

Среда распространения информативного сигнала — это физическая среда, по которой информативный сигнал может распространяться и приниматься (регистрироваться) приемником. Она может быть как однородной (например, только воздушной), так и неоднородной за счет перехода сигнала из одной среды в другую (например, в результате акустоэлектрических или виброакустических преобразований).

Носителем информации является пользователь ИС «ВАТС — ДИ», осуществляющий голосовой ввод в систему, акустическая система, воспроизводящая информацию, а также технические средства ИС «ВАТС –ДИ» и ВТСС, создающие физические поля, в которых информация находит свое отражение в виде символов, образов, сигналов, технических решений и процессов, количественных характеристик физических величин.

При обработке информации в ИС «ВАТС — ДИ» за счет реализации технических каналов утечки информации возможно возникновение следующих УБ:

— угроз утечки акустической (речевой) информации;

— угроз утечки видовой информации;

— угроз утечки информации по каналам побочных электромагнитных излучений и наводок (ПЭМИН).

1. Угрозы утечки акустической речевой информации.

Возникновение угроз утечки акустической (речевой) информации, содержащейся непосредственно в произносимой речи пользователя ИС «ВАТС — ДИ», при ее обработке информации в системе, обусловлено наличием функций голосового ввода информации в ИС «ВАТС — ДИ» или функций воспроизведения информации акустическими средствами.

Перехват акустической (речевой) информации в данных случаях возможен с использованием аппаратуры, регистрирующей акустические (в воздухе) и виброакустические (в упругих средах) волны, а также электромагнитные (в том числе оптические) излучения и электрические сигналы, модулированные информативным акустическим сигналом, возникающие за счет преобразований в технических средствах обработки информации, ВТСС и строительных конструкциях и инженерно-технических коммуникациях под воздействием акустических волн.

Кроме этого, перехват акустической (речевой) информации возможен с использованием специальных электронных устройств съема речевой информации, внедренных в технические средства обработки информации, ВТСС и помещения или подключенных к каналам связи.

Перехват акустической (речевой) информации может вестись:

— стационарной аппаратурой, размещаемой в близлежащих строениях (зданиях) с неконтролируемым пребыванием посторонних лиц;

— портативной возимой аппаратурой, размещаемой в транспортных средствах, осуществляющих движение вблизи служебных помещений или при их парковке рядом с этими помещениями;

— портативной носимой аппаратурой — физическими лицами при их неконтролируемом пребывании в служебных помещениях или в непосредственной близости от них;

— автономной автоматической аппаратурой, скрытно устанавливаемой физическими лицами непосредственно в служебных помещениях или в непосредственной близости от них.

2. Угрозы утечки видовой информации.

Угрозы утечки видовой информации реализуются за счет просмотра информации с помощью оптических (оптикоэлектронных) средств с экранов дисплеев и других средств отображения средств вычислительной техники, информационно-вычислительных комплексов, технических средств обработки графической, видео- и буквенно-цифровой информации, входящих в состав ИС «ВАТС — ДИ».

Кроме того, просмотр (регистрация) информации возможен с использованием специальных электронных устройств съема, внедренных в служебных помещениях или скрытно используемых физическими лицами при посещении ими служебных помещений.

Необходимым условием осуществления просмотра (регистрации) информации является наличие прямой видимости между средством наблюдения и носителем информации.

Перехват информации может вестись:

— стационарной аппаратурой, размещаемой в близлежащих строениях (зданиях) с неконтролируемым пребыванием посторонних лиц;

— портативной возимой аппаратурой, размещаемой в транспортных средствах, осуществляющих движение вблизи служебных помещений или при их парковке рядом с этими помещениями;

— портативной носимой аппаратурой — физическими лицами при их неконтролируемом пребывании в служебных помещениях или в непосредственной близости от них.

Перехват (просмотр) информации может осуществляться посторонними лицами путем их непосредственного наблюдения в служебных помещениях либо с расстояния прямой видимости из-за пределов ИС «ВАТС — ДИ» с использованием оптических (оптикоэлектронных) средств.

3. Угрозы утечки информации по каналам побочных электромагнитных излучений и наводок (ПЭМИН).

Утечка информации через ПЭМИН возможна по электромагнитным и электрическим каналам. К электромагнитным относятся каналы утечки информации, возникающие за счет различного вида побочных электромагнитных излучений (ЭМИ) технических средств передачи информации (ТСПИ):

— излучений элементов ТСПИ;

— излучений на частотах работы высокочастотных (ВЧ) генераторов ТСПИ;

— излучений на частотах самовозбуждения усилителей низкой частоты (УНЧ) ТСПИ.

В ТСПИ носителем информации является электрический ток, параметры которого (сила тока, напряжение, частота и фаза) изменяются по закону информационного сигнала. При прохождении электрического тока по токоведущим элементам ТСПИ вокруг них (в окружающем пространстве) возникают электрическое и магнитное поля. В силу этого элементы ТСПИ можно рассматривать как излучатели электромагнитного поля.

В состав ТС могут входить различного рода высокочастотные генераторы. К таким устройствам можно отнести: задающие генераторы, генераторы тактовой частоты, гетеродины радиоприемных и телевизионных устройств, генераторы измерительных приборов и т. д. В результате внешних воздействий информационного сигнала (например, электромагнитных колебаний) на элементах ВЧ-генераторов наводятся электрические сигналы. Приемником магнитного поля могут быть катушки индуктивности колебательных контуров, дроссели в цепях электропитания и т. д. Приемником электрического поля являются провода высокочастотных цепей и другие элементы. Наведенные электрические сигналы могут вызвать непреднамеренную модуляцию собственных ВЧ-колебаний генераторов. Эти промодулированные ВЧ-колебания излучаются в окружающее пространство.

Самовозбуждение усилителей низкой частоты ТСПИ (например, систем звукоусиления и звукового сопровождения, магнитофонов, систем громкоговорящей связи и т. п.) возможно за счет случайных преобразований отрицательных обратных связей (индуктивных или емкостных) в паразитные положительные, что приводит к переводу усилителя из режима усиления в режим автогенерации сигналов.

По видам несанкционированного доступа. Несанкционированный доступ можно разделить на три подвида:

1) проникновение в операционную систему субъекта информационной системы «ВАТС — ДИ»;

2) создание нештатных режимов работы программных (программно-аппаратных) средств за счет преднамеренных изменений служебных данных, игнорирования предусмотренных в штатных условиях ограничений на состав и характеристики обрабатываемой информации, искажения (модификации) самих данных и т. п.;

3) внедрение вредоносных программ (программно-математического воздействия).

Состав элементов описания источников угроз безопасности информации приведен на рис. 15.

Рис. 15. Элементы описания источников угроз информации в ИС «ВАТС — ДИ»

Классификация уязвимостей ИС «ВАТС — ДИ». Общий вид структуры уязвимостей ИС «ВАТС — ДИ» приведен на рис. 16.

Рис. 16. Общий вид структуры уязвимостей ИС «ВАТС — ДИ»

Характеристики уязвимостей, связанных с реализацией протоколов сетевого взаимодействия и каналов передачи данных, приведены в табл. 4.

Таблица 4

Характеристики уязвимостей каналов обмена данными ИС «ВАТС — ДИ»

Характеристика
уязвимости

Содержание нарушения безопасности

Протокол
передачи

Каналы передачи
данных

1

2

3

4

1. Аутентификация на базе открытого текста (пароли пересылаются в незашифрованном виде)

2. Доступ по умолчанию

3. Наличие двух открытых портов

Возможность перехвата данных учетной записи (имен зарегистрированных пользователей, паролей). Получение удаленного доступа к хостам

FTP (File Transfer Protocol) — протокол передачи файлов по сети

ВОЛС, Wi-Fi, LTE/5G-V2X, среда V2X

Аутентификация на базе открытого текста (пароли пересылаются в незашифрованном виде)

Возможность перехвата данных учетной записи пользователя. Получение удаленного доступа к хостам

telnet — протокол управления удаленным терминалом

ВОЛС, Wi-Fi, LTE/5G-V2X, среда V2X

Отсутствие механизма предотвращения перегрузок буфера

Возможность реализации UDР-шторма. В результате обмена пакетами происходит существенное снижение производительности сервера

UDP — протокол передачи данных без установления соединения

ВОЛС, Wi-Fi, LTE/5G-V2X, среда V2X

Аутентификация на базе открытого текста (информация пересылается в незашифрованном виде)

Возможность перехвата трафика пользователя злоумышленником

ARP — протокол преобразования IP-адреса в физический адрес

ВОЛС, Wi-Fi, LTE/5G-V2X, среда V2X

Отсутствие аутентификации управляющих сообщений об изменении маршрута

Возможность перенаправления трафика через хост злоумышленника

RIP — протокол маршрутной информации

ВОЛС, Wi-Fi, LTE/5G-V2X, среда V2X

Отсутствие механизма проверки корректности заполнения служебных заголовков пакета

Существенное снижение скорости обмена и даже полный разрыв произвольных соединений по протоколу TCP

TCP — протокол управления передачей

ВОЛС, Wi-Fi, LTE/5G-V2X, среда V2X

Отсутствие средств проверки аутентификации полученных данных от источника

Фальсификация ответа DNS-сервера

DNS — протокол установления соответствия мнемонических имен и сетевых адресов

ВОЛС, Wi-Fi, LTE/5G-V2X, среда V2X

Отсутствие аутентификации сообщений об изменении параметров маршрута

Зависание систем Win 9x/NT/200

IGMP — протокол передачи сообщений о маршрутизации

ВОЛС, Wi-Fi, LTE/5G-V2X, среда V2X

Отсутствие поддержки аутентификации заголовков сообщений

Возможность подделывания сообщений электронной почты, а также адреса отправителя сообщения

SMTP — протокол обеспечения сервиса доставки сообщений по электронной почте

ВОЛС, Wi-Fi, LTE/5G-V2X, среда V2X

Отсутствие поддержки аутентификации заголовков сообщений

Возможность переполнения пропускной способности сети

SNMP — протокол управления маршрутизаторами в сетях

ВОЛС, Wi-Fi, LTE/5G-V2X, среда V2X

1. Отсутствие механизма предотвращения перегрузок буфера

2. Реализация подмены сообщений

3. Возможность внедрения вредоносных программ

4. Отсутствие потокового шифрования

1. Приводит к недоступности работы сервисов

2. Нарушение работы сети, сокрытие личности, получение привилегий в сети

3. Влияние на целостность и конфиденциальность среды V2I

4. Как активные, так и пассивные воздействия позволяют украсть конфиденциальную информацию, что нарушит конфиденциальность водителей и транспортных средств

IEEE 802.11р — протокол радиосвязи ближнего действия в транспортной среде

DSRC, среда V2I

Возможность внедрения в шину CAN с использованием аппаратной или программной закладки

Возможности:

— отключать ABS системы торможения;

— перехватывать управление двигателем;

— перехватывать управление КПП;

— подменять показания приборной панели.

CAN

Среда V2V

Возможность внедрения в шину FlexRay с использованием аппаратной или программной закладки

Возможности:

— отключать ABS системы торможения;

— перехватывать управление двигателем;

— перехватывать управление КПП;

— подменять показания приборной панели

FlexRay

Среда V2V

Возможность монтажа закладки
«в разрыв» шины

Перехват аудио-, видеоинформации
из салона автомобиля.

MOST

Среда V2V

Возможность навязывания GPS-координат

Можно заставлять устройства считать мнимое местоположение — реальным
и изменять направление движения ВАТС

Системы геолокации

Среда V2X

Возможность эмуляции показаний датчиков системы

«Ложные» срабатывания, изменение направления движения ВАТС, полный перехват управления.

Системы технического зрения

Среда V2X

Тип нарушителя безопасности информации. При его разработке следует учитывать, но не ограничиваться методическими рекомендациями ФСТЭК РФ и ФСБ РФ.

Нарушитель безопасности информации для ИС «ВАТС — ДИ».

1. В качестве источника угроз компрометации информации могут выступать лица, случайно или преднамеренно совершающие действия, следствием которых может стать нарушение одного из свойств безопасности системы.

2. Нарушители классифицируются в зависимости от возможностей доступа к ИС «ВАТС — ДИ»:

— лица, не имеющие доступа к системе, реализующие угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена, — так называемые внешние нарушители;

— лица, имеющие доступ к системе, включая пользователей, реализующие угрозы непосредственно в ИС «ВАТС — ДИ», — так называемые внутренние нарушители.

3. Предполагаемые нарушители описываются по следующим параметрам:

— тип нарушителя;

— описание потенциальных нарушителей;

— возможности нарушителей.

Нарушителями безопасности ИС «ВАТС — ДИ» могут быть категории лиц, представленные в табл. 5.

Таблица 5

Категории нарушителей безопасности ИС «ВАТС — ДИ»

Шифр нарушителя

Характеристика

Описание

Н1

Тип

Внешний нарушитель

Описание

Лица, не имеющие доступа к ИС «ВАТС — ДИ», реализующие угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена (службы разведок других государств, конкуренты и пр.)

Возможности

1. Может осуществлять несанкционированный доступ к каналам связи.

2. Может осуществлять несанкционированный доступ через автоматизированные рабочие места, подключенные к сетям связи общего пользования и (или) сетям международного информационного обмена.

3. Может осуществлять несанкционированный доступ к информации с использованием специальных программных воздействий посредством программных вирусов, вредоносных программ, алгоритмических или программных закладок.

4. Может осуществлять несанкционированный доступ через подсистемы ИС «ВАТС — ДИ», которые в процессе своего жизненного цикла (модернизации, сопровождения, ремонта, утилизации) оказываются за пределами контролируемой зоны ДИ.

5. Может осуществлять несанкционированный доступ через информационные системы взаимодействующих ведомств, организаций и учреждений при их подключении к ИС «ВАТС — ДИ».

6. Может осуществлять перехват информации по техническим каналам утечки информации.

7. Может осуществлять несанкционированный доступ с помощью методов социальной инженерии.

8. Может осуществлять совместные действия с лицами, имеющими доступ к ИС «ВАТС — ДИ»

Н2

Тип

Внутренний нарушитель

Описание

Лица, имеющие санкционированный доступ к ИС «ВАТС — ДИ», но не имеющие прав доступа к защищаемой информации (должностные лица, обеспечивающие функционирование ИС «ВАТС — ДИ»)

Возможности

1. Наличие доступа к фрагментам информации, содержащей защищаемую информацию и распространяющейся по внутренним каналам связи.

2. Может располагать фрагментами информации о топологии ИС «ВАТС — ДИ» (коммуникационной части подсети) и об используемых коммуникационных протоколах и их сервисах.

3. Может располагать именами и вести выявление паролей зарегистрированных пользователей.

4. Может изменять конфигурацию технических средств ИС «ВАТС — ДИ», вносить в нее программно-аппаратные закладки и обеспечивать съем информации, используя непосредственное подключение к техническим средствам ИС «ВАТС — ДИ»

Н3

Тип

Внутренний нарушитель

Описание

Зарегистрированные пользователи, осуществляющие ограниченный доступ к ресурсам ИС «ВАТС — ДИ» с рабочего места

Возможности

1. Обладает всеми возможностями лиц предыдущей категории.

2. Знает, по меньшей мере, одно легальное имя доступа.

3. Обладает всеми необходимыми атрибутами (например, паролем), обеспечивающими доступ к некоторому подмножеству защищаемой информации.

4. Располагает конфиденциальными данными, к которым имеет доступ

Н4

Тип

Внутренний нарушитель

Описание

Зарегистрированные пользователи, осуществляющие удаленный доступ к ресурсам ИС «ВАТС — ДИ» по локальным и (или) распределенным информационным системам

Возможности

1. Обладает всеми возможностями лиц предыдущей категории.

2. Располагает информацией о топологии ИС «ВАТС — ДИ» на базе локальной и (или) распределенной информационной системы, через которую осуществляется доступ, и о составе технических средств.

3. Имеет возможность прямого (физического) доступа к фрагментам технических средств ИС «ВАТС — ДИ»

Н5

Тип

Внутренний нарушитель

Описание

Зарегистрированные пользователи с полномочиями администратора безопасности сегмента ИС «ВАТС — ДИ»

Возможности

1. Обладает всеми возможностями лиц предыдущих категорий.

2. Обладает полной информацией о системном и прикладном программном обеспечении, используемом в сегменте ИС «ВАТС — ДИ».

3. Обладает полной информацией о технических средствах и конфигурации сегмента ИС «ВАТС — ДИ».

4. Имеет доступ к средствам защиты информации и протоколирования, а также к отдельным элементам, используемым в сегменте ИС «ВАТС — ДИ».

5. Имеет доступ ко всем техническим средствам сегмента ИС «ВАТС — ДИ».

6. Обладает правами конфигурирования и административной настройки некоторого подмножества

Н6

Тип

Внутренний нарушитель

Описание

Зарегистрированные пользователи с полномочиями системного администратора ИС «ВАТС — ДИ»

Возможности

1. Обладает всеми возможностями лиц предыдущих категорий.

2. Обладает полной информацией о системном и прикладном программном обеспечении ИС «ВАТС — ДИ». 3. Обладает полной информацией о технических средствах и конфигурации ИС «ВАТС — ДИ».

3. Имеет доступ ко всем техническим средствам обработки информации и данным ИС «ВАТС — ДИ».

4. Обладает правами конфигурирования и административной настройки технических средств ИС «ВАТС — ДИ»

Н7

Тип

Внутренний нарушитель

Описание

Зарегистрированные пользователи с полномочиями администратора безопасности ИС «ВАТС — ДИ»

Возможности

1. Обладает всеми возможностями лиц предыдущих категорий.

2. Обладает полной информацией об ИС «ВАТС — ДИ».

3. Имеет доступ к средствам защиты информации и протоколирования и к части ключевых элементов ИС «ВАТС — ДИ».

4. Не имеет прав доступа к конфигурированию технических средств сети за исключением контрольных (инспекционных)

Н8

Тип

Внутренний нарушитель

Описание

Программисты-разработчики (поставщики) прикладного программного обеспечения и лица, обеспечивающие его сопровождение на объекте ИС

Возможности

1. Обладает информацией об алгоритмах и программах обработки информации на ИС «ВАТС — ДИ».

2. Обладает возможностями внесения ошибок, недекларированных возможностей, программных закладок, вредоносных программ в программное обеспечение ИС «ВАТС — ДИ» на стадии ее разработки, внедрения и сопровождения.

3. Может располагать любыми фрагментами информации о топологии ИС «ВАТС — ДИ» и технических средствах обработки и защиты информации, обрабатываемой в ИС «ВАТС — ДИ»

Н9

Тип

Внутренний нарушитель

Описание

Разработчики и лица, обеспечивающие поставку, сопровождение и ремонт технических средств на ИС «ВАТС — ДИ»

Возможности

1. Обладает возможностями внесения закладок в технические средства ИС «ВАТС — ДИ» на стадии их разработки, внедрения и сопровождения.

2. Может располагать любыми фрагментами информации о топологии ИС «ВАТС — ДИ» и технических средствах обработки и защиты информации в ИС «ВАТС — ДИ»

§ 3. Модель угроз безопасности информационной системы «высокоавтоматизированное транспортное средство — дорожная инфраструктура»

Модель угроз безопасности информации должна содержать краткое описание архитектуры, характеристику источников угроз безопасности информации, в том числе модель нарушителя, и описание всех угроз безопасности информации, актуальных для ИС «ВАТС — ДИ».

Описание каждой угрозы безопасности информации должно включать:

а) источник угрозы безопасности информации;

б) уязвимости, которые могут быть использованы для реализации или способствовать возникновению угрозы безопасности информации;

в) возможные сценарии реализации угрозы безопасности информации;

г) возможные последствия от реализации угрозы безопасности информации.

Для определения угроз безопасности информации и разработки модели угроз безопасности информации рекомендуется применять методические документы, разработанные и утвержденные ФСТЭК России, ФСБ России и лучшими практиками профессиональных и отраслевых сообществ.

Для информации ограниченного доступа, такой как персональные данные, информация, обрабатываемая в государственных информационных системах (ГИС) и др., существуют типовые модели угроз безопасности, сформированные такими регуляторами, как ФСБ РФ и ФСТЭК РФ. В случае если информация, обрабатываемая в ИС «ВАТС — ДИ», или сама система будет определена как персональные данные, или, соответственно, ГИС, упомянутые модели будут являться необходимыми к применению в качестве методических документов. Однако, например, базовая модель угроз безопасности персональных данных ФСТЭК, хотя и необходима к использованию в случае наличия в подсистеме персональных данных, не являются исчерпывающей применительно к угрозам безопасности дорожных инфраструктур и ВАТС, имеющих другую специфику и риски.

При формировании модели угроз ИС «ВАТС — ДИ» следует оценить актуальность угроз безопасности, представленных в табл. 6.

Таблица 6

Угрозы безопасности ИС «ВАТС–ДИ»

Наименование УБИ

Описание

Источник угрозы (характеристика и потенциал нарушителя)

Объект воздействия

1

2

3

4

Угроза внедрения кода или данных

Угроза заключается в возможности внедрения нарушителем в дискредитируемую информационную систему или IoT-устройство вредоносного кода, который может быть в дальнейшем запущен «вручную» пользователями, автоматически при выполнении определенного условия (наступления определенной даты, входа пользователя в систему и т. п.) или с использованием аутентификационных данных, заданных «по умолчанию», а также в возможности несанкционированного внедрения нарушителем некоторых собственных данных для обработки в дискредитируемую информационную систему, фактически осуществив незаконное использование чужих вычислительных ресурсов, и блокирования работы устройства при выполнении определенных команд.

Угроза обусловлена:

— наличием уязвимостей программного обеспечения;

— слабостями мер антивирусной защиты и разграничения доступа;

— наличием открытого Telnet-порта на IoT-устройстве (только для IoT-устройств).

Реализация угрозы возможна:

— в случае работы дискредитируемого пользователя с файлами, поступающими из недоверенных источников;

— при наличии у него привилегий установки программного обеспечения;

— в случае неизмененных владельцем учетных данных IoT-устройства (заводских пароля и логина)

Внешний нарушитель с низким потенциалом

Системное программное обеспечение, прикладное программное обеспечение, сетевое программное обеспечение

Угроза воздействия на программы
с высокими привилегиями

Угроза заключается в возможности повышения нарушителем своих привилегий в дискредитированной системе (получения привилегии дискредитированных программ) путем использования ошибок в программах и выполнения произвольного кода с их привилегиями.

Угроза обусловлена слабостями механизма проверки входных данных и команд, а также мер по разграничению доступа.

Реализация угрозы возможна при условиях:

— обладания дискредитируемой программой повышенными привилегиями в системе;

— осуществления дискредитируемой программой приема входных данных от других программ или от пользователя;

— нарушитель имеет возможность осуществлять передачу данных к дискредитируемой программе

Внешний нарушитель со средним потенциалом. Внутренний нарушитель со средним потенциалом

Информационная система, виртуальная машина, сетевое программное обеспечение, сетевой трафик

Угроза
восстановления
и/или повторного использования аутентификационной информации

Угроза заключается в возможности доступа к данным пользователя в результате подбора (например, путем полного перебора или перебора по словарю) аутентификационной информации дискредитируемой учетной записи пользователя в системе, а также путем перехвата и повторного использования хэша пароля для восстановления сеанса.

Угроза обусловлена следующими недостатками:

— значительно меньшим объемом данных хеш-кода аутентификационной информации по сравнению с ней самой (время подбора хеш-кодов меньше времени полного перебора аутентификационной информации);

— слабостями алгоритма расчета хеш-кода, допускающими его повторное использование для выполнения успешной аутентификации.

Реализация угрозы возможна с помощью специальных программных средств, а также в некоторых случаях — «вручную»

Внешний нарушитель с низким потенциалом. Внутренний нарушитель с низким потенциалом

Системное программное обеспечение, микропрограммное обеспечение, учетные данные пользователя

Угроза восстановления предыдущей уязвимой версии BIOS

Угроза заключается в возможности осуществления вынужденного перехода на использование BIOS/UEFI, содержащей уязвимости.

Угроза обусловлена слабостями технологий контроля за обновлением программного обеспечения BIOS/UEFI.

При использовании технологии обновления BIOS/UEFI возможно возникновение следующей ситуации (условия, характеризующие ситуацию, указаны в хронологическом порядке):

— на компьютере установлена некоторая версия BIOS/UEFI, для которой на момент ее работы не известны уязвимости;

— в силу некоторых обстоятельств BIOS/UEFI проходит процедуру обновления, сохраняя при этом предыдущую версию BIOS/UEFI на случай «отката» системы;

— публикуются данные о существовании уязвимостей в предыдущей версии BIOS/UEFI;

— происходит сбой в работе системы, в результате чего текущая (новая) версия BIOS/UEFI становится неработоспособной (например, нарушается ее целостность);

— пользователь осуществляет штатную процедуру восстановления работоспособности системы — проводит «откат» системы к предыдущему работоспособному состоянию

Внутренний нарушитель с низким потенциалом

Микропрограммное обеспечение BIOS/UEFI

Угроза выхода процесса за пределы виртуальной машины

Угроза заключается в возможности запуска вредоносной программой собственного гипервизора, функционирующего по уровню логического взаимодействия ниже компрометируемого гипервизора.

Угроза обусловлена уязвимостями программного обеспечения гипервизора, реализующего функцию изолированной программной среды для функционирующих в ней программ, а также слабостями инструкций аппаратной поддержки виртуализации на уровне процессора.

Реализация угрозы приводит к компрометации не только гипервизора, но и запущенных в созданной им виртуальной среде средств защиты, а следовательно, к их неспособности выполнять функции безопасности в отношении вредоносных программ, функционирующих под управлением собственного гипервизора

Внешний нарушитель со средним потенциалом. Внутренний нарушитель со средним потенциалом

Информационная система, сетевой узел, носитель информации, объекты файловой системы, учетные данные пользователя, образ виртуальной машины

Угроза деавторизации санкционированного клиента беспроводной сети

Угроза заключается в возможности автоматического разрыва соединения беспроводной точки доступа с санкционированным клиентом беспроводной сети.

Угроза обусловлена слабостью технологий сетевого взаимодействия по беспроводным каналам передачи данных — сведения о МАС-адресах беспроводных клиентов доступны всем участникам сетевого взаимодействия.

Реализация угрозы возможна при условии подключения нарушителем к беспроводной сети устройства, МАС-адрес которого будет полностью совпадать с МАС-адресом дискредитируемого санкционированного клиента

Внешний нарушитель с низким потенциалом. Внутренний нарушитель с низким потенциалом

Сетевой узел

Угроза деструктивного изменения конфигурации / среды окружения программ

Угроза заключается в возможности деструктивного программного воздействия на дискредитируемое приложение путем осуществления манипуляций с используемыми им конфигурационными файлами или библиотеками.

Угроза обусловлена слабостями мер контроля целостности конфигурационных файлов или библиотек, используемых приложениями.

Реализация угрозы возможна в случае наличия у нарушителя прав осуществления записи в файловые объекты, связанные с конфигурацией / средой окружения программы, или возможности перенаправления запросов дискредитируемой программы от защищенных файловых объектов к ложным

Внутренний нарушитель с низким потенциалом

Системное программное обеспечение, прикладное программное обеспечение, сетевое программное обеспечение, микропрограммное обеспечение, метаданные, объекты файловой системы, реестр

Угроза деструктивного использования декларированного функционала BIOS

Угроза заключается в возможности неправомерного использования декларированного функционала BIOS/UEFI для нарушения целостности информации, хранимой на внешних носителях информации и в оперативном запоминающем устройстве компьютера.

Угроза обусловлена уязвимостями программного обеспечения BIOS/UEFI, предназначенного для тестирования и обслуживания компьютера (средств проверки целостности памяти, программного обеспечения управления RAID-контроллером и т. п.).

Реализации угрозы может способствовать возможность обновления некоторых BIOS/UEFI без прохождения аутентификации

Внутренний нарушитель с низким потенциалом

Микропрограммное обеспечение BIOS/UEFI

Угроза длительного удержания вычислительных ресурсов пользователями

Угроза заключается в возможности ограничения нарушителем доступа конечных пользователей к вычислительному ресурсу за счет принудительного удержания его в загруженном состоянии путем осуществления им многократного выполнения определенных деструктивных действий или эксплуатации уязвимостей программ, распределяющих вычислительные ресурсы между задачами.

Угроза обусловлена слабостями механизмов балансировки нагрузки и распределения вычислительных ресурсов.

Реализация угрозы возможна в случае, если у нарушителя имеется возможность делать запросы, которые в совокупности требуют больше времени на выполнение, чем запросы пользователя

Внешний нарушитель с низким потенциалом. Внутренний нарушитель с низким потенциалом

Информационная система, сетевой узел, носитель информации, системное программное обеспечение, сетевое программное обеспечение, сетевой трафик

Угроза доступа к защищаемым файлам с использованием обходного пути

Угроза заключается в возможности получения нарушителем доступа к скрытым/защищаемым каталогам или файлам посредством различных воздействий на файловую систему (добавление дополнительных символов в указании пути к файлу; обращение к файлам, которые явно не указаны в окне приложения).

Угроза обусловлена слабостями механизма разграничения доступа к объектам файловой системы.

Реализация угрозы возможна при условиях:

— наличие у нарушителя прав доступа к некоторым объектам файловой системы;

— отсутствие проверки вводимых пользователем данных;

— наличие у дискредитируемой программы слишком высоких привилегий доступа к файлам, обработка которых не предполагается с ее помощью

Внешний нарушитель с низким потенциалом. Внутренний нарушитель с низким потенциалом

Объекты файловой системы

Угроза доступа к локальным файлам сервера при помощи URL

Угроза заключается в возможности передачи нарушителем дискредитируемому браузеру запроса на доступ к файловой системе пользователя вместо URL-запроса. При этом браузер выполнит этот запрос с правами, которыми он был наделен при запуске, и передаст данные, полученные в результате выполнения этой операции, нарушителю.

Угроза обусловлена слабостями механизма проверки вводимых пользователем запросов, который не делает различий между запросами на доступ к файловой системе и URL-запросами.

Реализация угрозы возможна в случае наличия у нарушителя привилегий на отправку запросов браузеру, функционирующему в дискредитируемой системе.

Внешний нарушитель со средним потенциалом

Сетевое программное обеспечение

Угроза доступа/перехвата/из-менения HTTP cookies

Угроза заключается в возможности осуществления нарушителем несанкционированного доступа к защищаемой информации (учетным записям пользователей, сертификатам и т. п.), содержащейся в cookies-файлах, во время их хранения или передачи, в режиме чтения (раскрытие конфиденциальности) или записи (внесение изменений для реализации угрозы подмены доверенного пользователя).

Угроза обусловлена слабостями мер защиты cookies-файлов: отсутствием проверки вводимых данных со стороны сетевой службы, использующей cookies-файлы, а также отсутствием шифрования при передаче cookies-файлов.

Реализация угрозы возможна при условиях осуществления нарушителем успешного несанкционированного доступа к cookies-файлам и отсутствия проверки целостности их значений со стороны дискредитируемого приложения

Внешний нарушитель с низким потенциалом

Прикладное программное обеспечение, сетевое программное обеспечение

Угроза загрузки нештатной операционной системы

Угроза заключается в возможности подмены нарушителем загружаемой операционной системы путем несанкционированного переконфигурирования в BIOS/UEFI пути доступа к загрузчику операционной системы.

Угроза обусловлена слабостями технологий разграничения доступа к управлению BIOS/UEFI.

Реализация угрозы возможна при условии доступности нарушителю следующего параметра настройки BIOS/UEFI — указания источника загрузки операционной системы

Внутренний нарушитель с низким потенциалом

Микропрограммное обеспечение BIOS/UEFI

Угроза заражения DNS-кеша

Угроза заключается в возможности перенаправления нарушителем сетевого трафика через собственный сетевой узел путем опосредованного изменения таблиц соответствия IP- и доменных имен, хранимых в DNS-сервере, за счет генерации лавины возможных ответов на запрос DNS-сервера легальному пользователю или за счет эксплуатации уязвимостей DNS-сервера.

Угроза обусловлена слабостями механизмов проверки подлинности субъектов сетевого взаимодействия, а также уязвимостями DNS-сервера, позволяющими напрямую заменить DNS-кеш DNS-сервера.

Реализация угрозы возможна в случае наличия у нарушителя привилегий, достаточных для отправки сетевых запросов к DNS-серверу

Внешний нарушитель с низким потенциалом

Сетевой узел, сетевое программное обеспечение, сетевой трафик

Угроза злоупотребления возможностями, предоставленными потребителям облачных услуг

Угроза заключается в возможности осуществления потребителем облачных услуг (нарушителем) рассылки спама, несанкционированного доступа к виртуальным машинам других потребителей облачных услуг или осуществления других деструктивных программных воздействий на различные системы с помощью арендованных ресурсов облачного сервера.

Угроза обусловлена тем, что потребитель облачных услуг может устанавливать собственное программное обеспечение на облачный сервер.

Реализация угрозы возможна путем установки и запуска потребителем облачных услуг вредоносного программного обеспечения на облачный сервер. Успешная реализация данной угрозы потребителем облачных услуг оказывает негативное влияние на репутацию поставщика облачных услуг

Внутренний нарушитель с низким потенциалом

Облачная система, виртуальная машина

Угроза злоупотребления доверием потребителей облачных услуг

Угроза заключается в возможности нарушения (случайно или намеренно) защищенности информации потребителей облачных услуг внутренними нарушителями поставщика облачных услуг.

Угроза обусловлена тем, что значительная часть функций безопасности переведена в сферу ответственности поставщика облачных услуг, а также невозможностью принятия потребителем облачных услуг мер защиты от действий сотрудников поставщика облачных услуг.

Реализация угрозы возможна при условии того, что потребители облачных услуг не входят в состав организации, осуществляющей оказание данных облачных услуг (т. е. потребитель действительно передал поставщику собственную информацию для осуществления ее обработки)

Внешний нарушитель с низким потенциалом

Облачная система

Угроза избыточного выделения оперативной памяти

Угроза заключается в возможности выделения значительных ресурсов оперативной памяти для обслуживания запросов вредоносных программ и соответственного снижения объема ресурсов оперативной памяти, доступных в системе для выделения в ответ на запросы программ легальных пользователей.

Угроза обусловлена наличием слабостей механизма контроля выделения оперативной памяти различным программам.

Реализация угрозы возможна при условии нахождения вредоносного программного обеспечения в системе в активном состоянии

Внешний нарушитель с низким потенциалом. Внутренний нарушитель с низким потенциалом

Аппаратное обеспечение, системное программное обеспечение, сетевое программное обеспечение

Угроза изменения компонентов информационной (автоматизированной) системы

Угроза заключается в возможности получения нарушителем доступа к сети, файлам, внедрения закладок и т. п. путем несанкционированного изменения состава программных или аппаратных средств информационной системы, что в дальнейшем позволит осуществлять данному нарушителю (или другому — внешнему, обнаружившему несанкционированный канал доступа в систему) несанкционированные действия в данной системе.

Угроза обусловлена слабостями мер контроля за целостностью аппаратной конфигурации информационной системы.

Реализация угрозы возможна при условии успешного получения нарушителем необходимых полномочий в системе и возможности подключения дополнительного периферийного оборудования

Внутренний нарушитель с низким потенциалом

Информационная система, сервер, рабочая станция, виртуальная машина, системное программное обеспечение, прикладное программное обеспечение, аппаратное обеспечение

Угроза изменения режимов работы аппаратных элементов компьютера

Угроза заключается в возможности изменения нарушителем режимов работы аппаратных элементов компьютера путем несанкционированного переконфигурирования BIOS/UEFI, что позволяет:

- за счет изменения частоты системной шины, режима передачи данных по каналам связи и т. п. повлиять на общую производительность компьютера или вызвать сбои в его работе;

— за счет понижения входного напряжения, отключения систем охлаждения временно обеспечить неработоспособность компьютера;

— за счет задания недопустимых параметров работы устройств (порогового значения отключения устройства при перегреве, входного напряжения и т. п.) привести к физическому выходу из строя отдельных аппаратных элементов компьютера.

Угроза обусловлена слабостями технологий разграничения доступа к управлению BIOS/UEFI.
Реализация угрозы возможна при условии наличия у нарушителя привилегий на изменение соответствующих параметров настройки BIOS/UEFI

Внутренний нарушитель с высоким потенциалом

Микропрограммное и аппаратное обеспечение BIOS/UEFI

Угроза изменения системных
и глобальных переменных

Угроза заключается в возможности осуществления нарушителем опосредованного деструктивного программного воздействия на некоторые программы или систему в целом путем изменения используемых дискредитируемыми программами единых системных и глобальных переменных.

Угроза обусловлена слабостями механизма контроля доступа к разделяемой памяти, а также уязвимостями программных модулей приложений, реализующих контроль целостности внешних переменных.

Реализация угрозы возможна при условиях осуществления нарушителем успешного несанкционированного доступа к системным и глобальным переменным и отсутствии проверки целостности их значений со стороны дискредитируемого приложения

Внутренний нарушитель со средним потенциалом

Системное программное обеспечение, прикладное программное обеспечение, сетевое программное обеспечение

Угроза искажения XML-схемы

Угроза заключается в возможности изменения нарушителем алгоритма обработки информации приложениями, функционирующими на основе XML-схем, вплоть до приведения приложения в состояние «отказ в обслуживании», путем изменения XML-схемы, передаваемой между клиентом и сервером.

Угроза обусловлена слабостями мер обеспечения целостности передаваемых при клиент-серверном взаимодействии данных, а также слабостями механизма сетевого взаимодействия открытых систем.

Реализация угрозы возможна при условиях осуществления нарушителем успешного несанкционированного доступа к сетевому трафику, передаваемому между клиентом и сервером и отсутствии проверки целостности XML-схемы со стороны дискредитируемого приложения

Внешний нарушитель со средним потенциалом. Внутренний нарушитель со средним потенциалом

Сетевой узел, сетевое программное обеспечение, сетевой трафик

Угроза искажения вводимой и выводимой на периферийные устройства информации

Угроза заключается в возможности дезинформирования пользователей или автоматических систем управления путем подмены или искажения исходных данных, поступающих от датчиков, клавиатуры или других устройств ввода информации, а также подмены или искажения информации, выводимой на принтер, дисплей оператора или на другие периферийные устройства.

Угроза обусловлена слабостями мер антивирусной защиты и контроля достоверности входных и выходных данных, а также ошибками, допущенными в ходе проведения специальных проверок аппаратных средств вычислительной техники.

Реализация угрозы возможна при условии наличия в дискредитируемой информационной системе вредоносного программного обеспечения (например, виртуальных драйверов устройств) или аппаратных закладок

Внешний нарушитель с высоким потенциалом. Внутренний нарушитель с низким потенциалом

Системное программное обеспечение, прикладное программное обеспечение, сетевое программное обеспечение, аппаратное обеспечение

Угроза использования альтернативных путей доступа к ресурсам

Угроза заключается в возможности осуществления нарушителем несанкционированного доступа к защищаемой информации в обход штатных механизмов с помощью нестандартных интерфейсов (в том числе доступа через командную строку в обход графического интерфейса).

Угроза обусловлена слабостями мер разграничения доступа к защищаемой информации, слабостями фильтрации входных данных.

Реализация угрозы возможна при условии наличия у нарушителя:

— возможности ввода произвольных данных в адресную строку сведений о пути к защищаемому ресурсу;

— возможности изменения интерфейса ввода входных данных

Внешний нарушитель с низким потенциалом. Внутренний нарушитель с низким потенциалом

Сетевой узел, объекты файловой системы, прикладное программное обеспечение, системное программное обеспечение

Угроза использования вычислительных ресурсов суперкомпьютера «паразитными» процессами

Угроза заключается в возможности существенного снижения производительности вычислительного поля суперкомпьютера и эффективности выполнения на нем текущих параллельных вычислений из-за потребления вычислительных ресурсов суперкомпьютера «паразитными» процессами («процессами-потомками» предыдущих заданий или процессами, запущенными вредоносным программным обеспечением).

Угроза обусловлена слабостями мер очистки памяти от «процессов-потомков» завершенных заданий, а также процессов, запущенных вредоносным программным обеспечением.

Реализация угрозы возможна при условии некорректного завершения выполненных задач или наличия вредоносных процессов в памяти суперкомпьютера в активном состоянии

Внешний нарушитель с низким потенциалом, Внутренний нарушитель с низким потенциалом

Вычислительные узлы суперкомпьютера

Угроза использования информации идентификации/аутентификации, заданной по умолчанию

Угроза заключается в возможности прохождения нарушителем процедуры авторизации на основе полученной из открытых источников идентификационной и аутентификационной информации, соответствующей учетной записи «по умолчанию» дискредитируемого объекта защиты.

Угроза обусловлена тем, что во множестве программных и программно-аппаратных средств производителями предусмотрены учетные записи «по умолчанию», предназначенные для первичного входа в систему.

Более того, на многих устройствах идентификационная и аутентификационная информация может быть возвращена к заданной «по умолчанию» после проведения аппаратного сброса параметров системы (функция Reset).

Реализация угрозы возможна при одном из следующих условий:

— наличие у нарушителя сведений о производителе/модели объекта защиты и наличие в открытых источниках сведений об идентификационной и аутентификационной информации, соответствующей учетной записи «по умолчанию» для объекта защиты;

— успешное завершение нарушителем процедуры выявления данной информации в ходе анализа программного кода дискредитируемого объекта защиты

Внешний нарушитель со средним потенциалом. Внутренний нарушитель с низким потенциалом

Средства защиты информации, системное программное обеспечение, сетевое программное обеспечение, микропрограммное обеспечение, программно-аппаратные средства со встроенными функциями защиты

Угроза использования механизмов авторизации для повышения привилегий

Угроза заключается в возможности получения нарушителем доступа к данным и функциям, предназначенным для учетных записей с более высокими, чем у нарушителя, привилегиями, за счет ошибок в параметрах настройки средств разграничения доступа. При этом нарушитель для повышения своих привилегий не осуществляет деструктивное программное воздействие на систему, а лишь использует существующие ошибки.

Угроза обусловлена слабостями мер разграничения доступа к программам и файлам.

Реализация угрозы возможна в случае наличия у нарушителя каких-либо привилегий в системе

Внешний нарушитель с низким потенциалом. Внутренний нарушитель с низким потенциалом

Системное программное обеспечение, прикладное программное обеспечение, сетевое программное обеспечение

Угроза использования поддельных цифровых подписей BIOS

Угроза заключается в возможности установки уязвимой версии обновления BIOS/UEFI или версии, содержащей вредоносное программное обеспечение, но имеющей цифровую подпись.

Угроза обусловлена слабостями мер по контролю за благонадежностью центров выдачи цифровых подписей.

Реализация угрозы возможна при условии выдачи неблагонадежным центром сертификации цифровой подписи на версию обновления BIOS/UEFI, содержащую уязвимости, или на версию, содержащую вредоносное программное обеспечение (т. е. при осуществлении таким центром подлога), а также подмены нарушителем доверенного источника обновлений

Внешний нарушитель со средним потенциалом

Микропрограммное и аппаратное обеспечение BIOS/UEFI

Угроза использования слабостей кодирования входных данных

Угроза заключается в возможности осуществления нарушителем деструктивного информационного воздействия на дискредитируемую систему путем манипулирования значениями входных данных и формой их предоставления (альтернативные кодировки, некорректное расширение файлов и т. п.).

Угроза обусловлена слабостями механизма контроля входных данных.

Реализация угрозы возможна при условиях:

— дискредитируемая система принимает входные данные от нарушителя;

— нарушитель обладает возможностью управления одним или несколькими параметрами входных данных

Внешний нарушитель со средним потенциалом. Внутренний нарушитель со средним потенциалом

Системное программное обеспечение, прикладное программное обеспечение, сетевое программное обеспечение, микропрограммное обеспечение, реестр

Угроза использования слабостей протоколов сетевого/локального обмена данными

Угроза заключается в возможности осуществления нарушителем несанкционированного доступа к передаваемой в системе защищаемой информации за счет деструктивного воздействия на протоколы сетевого/локального обмена данными в системе путем нарушения правил использования данных протоколов.

Угроза обусловлена слабостями самих протоколов (заложенных в них алгоритмов), ошибками, допущенными в ходе реализации протоколов, или уязвимостями, внедряемыми автоматизированными средствами проектирования/разработки.

Реализация угрозы возможна в случае наличия слабостей в протоколах сетевого/локального обмена данными

Внешний нарушитель с низким потенциалом. Внутренний нарушитель с низким потенциалом

Системное программное обеспечение, сетевое программное обеспечение, сетевой трафик

Угроза использования слабых криптографических алгоритмов BIOS

Угроза заключается в сложности проверки реальных параметров работы и алгоритмов, реализованных в криптографических средствах BIOS/UEFI. При этом доверие к криптографической защите будет ограничено доверием к производителю BIOS.

Угроза обусловлена сложностью использования собственных криптографических алгоритмов в программном обеспечении BIOS/UEFI.

Возможность реализации угрозы снижает достоверность оценки реального уровня защищенности системы

Внешний нарушитель с высоким потенциалом

Микропрограммное обеспечение BIOS/UEFI

Угроза исследования механизмов работы программы

Угроза заключается в возможности проведения нарушителем обратного инжиниринга кода программы и дальнейшего исследования его структуры, функционала и состава в интересах определения алгоритма работы программы и поиска в ней уязвимостей.

Угроза обусловлена слабостями механизма защиты кода программы от исследования.

Реализация угрозы возможна в случаях:

— наличия у нарушителя доступа к исходным файлам программы; — наличия у нарушителя доступа к дистрибутиву программы и отсутствия механизма защиты кода программы от исследования

Внешний нарушитель со средним потенциалом. Внутренний нарушитель со средним потенциалом

Системное программное обеспечение, прикладное программное обеспечение, сетевое программное обеспечение, микропрограммное обеспечение

Угроза исследования приложения через отчеты об ошибках

Угроза заключается в возможности исследования нарушителем алгоритма работы дискредитируемого приложения и его предполагаемой структуры путем анализа генерируемых этим приложением отчетов об ошибках.

Угроза обусловлена размещением защищаемой информации (или информации, обобщение которой может раскрыть защищаемые сведения о системе) в генерируемых отчетах об ошибках.

Реализация угрозы возможна в случае наличия у нарушителя доступа к отчетам об ошибках, генерируемых приложением, и наличия избыточности содержащихся в них данных

Внешний нарушитель со средним потенциалом. Внутренний нарушитель со средним потенциалом

Системное программное обеспечение, прикладное программное обеспечение, сетевое программное обеспечение, микропрограммное обеспечение

Угроза исчерпания вычислительных ресурсов хранилища больших данных

Угроза заключается в возможности временного возникновения состояния типа «отказ в обслуживании» у хранилища больших данных.

Угроза обусловлена постоянным трудно контролируемым заполнением занятого дискового пространства за счет данных, непрерывно поступающих из различных информационных источников, и слабостями технологий доступа и хранения информации в хранилищах больших данных.

Реализация угрозы возможна при условии мгновенного (текущего) превышения скорости передачи данных над скоростью их сохранения (в силу недостаточности пропускной способности канала связи или скорости выделения свободного пространства и сохранения на него поступающих данных) или при условии временного отсутствия свободного места в хранилище (в силу некорректного управления хранилищем или в результате осуществления нарушителем деструктивного программного воздействия на механизм контроля за заполнением хранилища путем изменения параметров или логики его работы)

Внутренний нарушитель с низким потенциалом

Информационная система

Угроза исчерпания запаса ключей, необходимых для обновления BIOS

Угроза заключается в возможности нарушения (невозможности осуществления) процедуры обновления BIOS/UEFI при исчерпании запаса необходимых для ее проведения ключей.

Угроза обусловлена ограниченностью набора ключей, необходимых для обновления BIOS/UEFI.

Реализация угрозы возможна путем эксплуатации уязвимостей средств обновления набора ключей или путем использования нарушителем программных средств перебора ключей

Внешний нарушитель со средним потенциалом

Микропрограммное обеспечение BIOS/UEFI

Угроза конфликта юрисдикций различных стран

Угроза заключается в возможности отказа в трансграничной передаче защищаемой информации в рамках оказания облачных услуг в соответствии с требованиями локального законодательства стран, резиденты которых участвуют в оказании облачных услуг.

Угроза обусловлена тем, что в зависимости от особенностей законодательства различных стран, резиденты которых участвуют в оказании облачных услуг, при обеспечении информационной безопасности могут использоваться правовые меры различных юрисдикций.

Реализация угрозы возможна при условии того, что на обеспечение информационной безопасности в ходе оказания облачных услуг накладываются правовые меры различных юрисдикций, противоречащих друг другу в ряде вопросов

Внешний нарушитель с низким потенциалом

Облачная система

Угроза межсайтового скриптинга

Угроза заключается в возможности внедрения нарушителем участков вредоносного кода на сайт дискредитируемой системы таким образом, что он будет выполнен на рабочей станции просматривающего этот сайт пользователя.

Угроза обусловлена слабостями механизма проверки безопасности при обработке запросов и данных, поступающих от веб-сайта.

Реализация угрозы возможна в случае, если клиентское программное обеспечение поддерживает выполнение сценариев, а нарушитель имеет возможность отправки запросов и данных в дискредитируемую систему

Внешний нарушитель с низким потенциалом

Сетевой узел, сетевое программное обеспечение

Угроза межсайтовой подделки запроса

Угроза заключается в возможности отправки нарушителем дискредитируемому пользователю ссылки на содержащий вредоносный код веб-ресурс, при переходе на который автоматически будут выполнены неправомерные вредоносные действия от имени дискредитированного пользователя.

Угроза обусловлена уязвимостями браузеров, которые позволяют выполнять действия без подтверждения или аутентификации со стороны дискредитируемого пользователя.

Реализация угрозы возможна в случае, если дискредитируемый пользователь сохраняет аутентификационную информацию с помощью браузера.

Внешний нарушитель со средним потенциалом

Сетевой узел, сетевое программное обеспечение

Угроза нарушения доступности облачного сервера

Угроза заключается в возможности прекращения оказания облачных услуг всем потребителям (или группе потребителей) из-за нарушения доступности для них облачной инфраструктуры.

Угроза обусловлена тем, что обеспечение доступности не является специфичным требованием безопасности информации для облачных технологий, и, кроме того, облачные системы реализованы в соответствии с сервис-ориентированным подходом.

Реализация угрозы возможна при переходе одного или нескольких облачных серверов в состояние «отказ в обслуживании». Более того, способность динамически изменять объем предоставляемых потребителям облачных услуг может быть использована нарушителем для реализации угрозы. При этом успешно реализованная угроза в отношении всего лишь одного облачного сервиса позволит нарушить доступность всей облачной системы

Внешний нарушитель с низким потенциалом. Внутренний нарушитель с низким потенциалом

Облачная система, облачный сервер

Угроза нарушения изоляции пользовательских данных внутри виртуальной машины

Угроза заключается в возможности нарушения безопасности пользовательских данных программ, функционирующих внутри виртуальной машины, вредоносным программным обеспечением, функционирующим вне виртуальной машины.

Угроза обусловлена наличием уязвимостей программного обеспечения гипервизора, обеспечивающего изолированность адресного пространства, используемого для хранения пользовательских данных программ, функционирующих внутри виртуальной машины, от несанкционированного доступа со стороны вредоносного программного обеспечения, функционирующего вне виртуальной машины.

Реализация угрозы возможна при условии успешного преодоления вредоносным программным кодом границ виртуальной машины не только за счет эксплуатации уязвимостей гипервизора, но и путем осуществления такого воздействия с более низких (по отношению к гипервизору) уровней функционирования системы

Внешний нарушитель со средним потенциалом. Внутренний нарушитель со средним потенциалом

Виртуальная машина, гипервизор

Угроза нарушения изоляции среды исполнения BIOS

Угроза заключается в возможности изменения параметров и (или) логики работы программного обеспечения BIOS/UEFI путем программного воздействия из операционной системы компьютера или путем несанкционированного доступа к каналу сетевого взаимодействия серверного сервис-процессора.

Угроза обусловлена слабостями технологий разграничения доступа к BIOS/UEFI, его функциям администрирования и обновления, со стороны операционной системы или каналов связи.
Реализация угрозы возможна:

— со стороны операционной системы — при условии наличия BIOS/UEFI функционала обновления и (или) управления программным обеспечением BIOS/UEFI из операционной системы;

— со стороны сети — при условии наличия у дискредитируемого серверного сервис-процессора достаточных привилегий для управления всей системой, включая модификацию BIOS/UEFI серверов системы, и дискредитируемого сервера

Внутренний нарушитель с низким потенциалом

Микропрограммное и аппаратное обеспечение BIOS/UEFI

Угроза нарушения процедуры аутентификации субъектов виртуального информационного взаимодействия

Угроза заключается в возможности подмены субъекта виртуального информационного взаимодействия, а также в возможности возникновения состояния неспособности осуществления такого взаимодействия.

Угроза обусловлена наличием множества различных протоколов взаимной идентификации и аутентификации виртуальных, виртуализованных и физических субъектов доступа, взаимодействующих между собой в ходе передачи данных как внутри одного уровня виртуальной инфраструктуры, так и между ее уровнями.

Реализация угрозы возможна в случае возникновения ошибок при проведении аутентификации субъектов виртуального информационного взаимодействия

Внешний нарушитель с низким потенциалом. Внутренний нарушитель с низким потенциалом

Сетевой узел, сетевое программное обеспечение, метаданные, учетные данные пользователя

Угроза нарушения технологии обработки информации путем несанкционированного внесения изменений в образы виртуальных машин

Угроза заключается в возможности осуществления деструктивного программного воздействия на дискредитируемую систему или опосредованного деструктивного программного воздействия через нее на другие системы путем осуществления несанкционированного доступа к образам виртуальных машин.

Угроза обусловлена слабостями мер разграничения доступа к образам виртуальных машин, реализованных в программном обеспечении виртуализации.

Реализация угрозы может привести:

— к нарушению конфиденциальности защищаемой информации, обрабатываемой с помощью виртуальных машин, созданных на основе несанкционированно измененных образов;

— к нарушению целостности программ, установленных на виртуальных машинах;

— к нарушению доступности ресурсов виртуальных машин;

— к созданию ботнета путем внедрения вредоносного программного обеспечения в образы виртуальных машин, используемые в качестве шаблонов (эталонные образы)

Внешний нарушитель со средним потенциалом. Внутренний нарушитель со средним потенциалом

Образ виртуальной машины, сетевой узел, сетевое программное обеспечение, виртуальная машина

Угроза нарушения целостности данных кеша

Угроза заключается в возможности размещения нарушителем в кеше приложения (например, браузера) или службы (например, DNS или ARP) некорректных (потенциально опасных) данных таким образом, что до обновления кеша дискредитируемое приложение (или служба) будет считать эти данные корректными.

Угроза обусловлена слабостями в механизме контроля целостности данных в кеше.

Реализация угрозы возможна в условиях осуществления нарушителем успешного несанкционированного доступа к данным кеша и отсутствии проверки целостности данных в кеше со стороны дискредитируемого приложения (или службы)

Внешний нарушитель с низким потенциалом. Внутренний нарушитель с низким потенциалом

Сетевое программное обеспечение

Угроза неверного определения формата входных данных, поступающих в хранилище больших данных

Угроза заключается в возможности искажения информации, сохраняемой в хранилище больших данных, или отказа в проведении сохранения при передаче в него данных в некоторых форматах.

Угроза обусловлена слабостями технологий определения формата входных данных на основе дополнительной служебной информации (заголовки файлов и сетевых пакетов, расширения файлов и т. п.), а также технологий адаптивного выбора и применения методов обработки мультиформатной информации в хранилищах больших данных.

Реализация угрозы возможна при условии, что дополнительная служебная информация о данных по какой-либо причине не соответствует их фактическому содержимому или в хранилище больших данных не реализованы методы обработки данных получаемого формата

Внутренний нарушитель с низким потенциалом

Хранилище больших данных, метаданные

Угроза невозможности восстановления сессии работы на ПЭВМ при выводе из промежуточных состояний питания

Угроза заключается в возможности потери несохраненных данных, обрабатываемых в предыдущей сессии работы на компьютере, а также в возможности потери времени для возобновления работы на компьютере.

Угроза обусловлена ошибками в реализации программно-аппаратных компонентов компьютера, связанных с обеспечением питания.

Реализация угрозы возможна при условии невозможности выведения компьютера из промежуточных состояний питания («ждущего режима работы», «гибернации» и др.)

Внутренний нарушитель с низким потенциалом

Рабочая станция, носитель информации, системное программное обеспечение, метаданные, объекты файловой системы, реестр

Угроза невозможности миграции образов виртуальных машин
из-за несовместимости аппаратного и программного обеспечения

Угроза заключается в возможности возникновения у потребителя облачных услуг непреодолимых сложностей для смены поставщика облачных услуг из-за технических сложностей в реализации процедуры миграции образов виртуальных машин из облачной системы одного поставщика облачных услуг в систему другого.

Угроза обусловлена тем, что каждый поставщик облачных услуг использует для реализации своей деятельности аппаратное и программное обеспечение различных производителей, часть которого может использовать специфические (для данного производителя) инструкции, протоколы, методы, схемы коммутации и другие особенности реализации своего функционала.

Реализация угрозы возможна в случае несовместимости стандартных программных интерфейсов обмена данными (API) для реализации процедуры миграции образов виртуальных машин между различными поставщиками облачных услуг в одном или обоих направлениях.

Также данная угроза обусловливает ограничение возможности смены производителей аппаратного и программного обеспечения поставщиком облачных услуг, что может привести к нарушению целостности и доступности информации по вине поставщика облачных услуг

Внешний нарушитель с низким потенциалом

Облачная инфраструктура, виртуальная машина, аппаратное обеспечение, системное программное обеспечение

Угроза невозможности управления правами пользователей BIOS

Угроза заключается в возможности неправомерного использования пользователями декларированного функционала BIOS/UEFI, ориентированного на администраторов.

Угроза обусловлена слабостями технологий разграничения доступа (распределения прав) к функционалу BIOS/UEFI между различными пользователями и администраторами.

Реализация угрозы возможна при условии физического доступа к терминалу и, при необходимости, к системному блоку компьютера

Внутренний нарушитель с низким потенциалом

Микропрограммное обеспечение BIOS/UEFI

Угроза недобросовестного исполнения обязательств поставщиками облачных услуг

Угроза заключается в возможности раскрытия или повреждения целостности поставщиком облачных услуг защищаемой информации потребителей облачных услуг, невыполнения требований к уровню качества (уровню доступности) предоставляемых потребителям облачных услуг доступа к их программам или иммигрированным в облако информационным системам.

Угроза обусловлена невозможностью непосредственного контроля над действиями сотрудников поставщика облачных услуг со стороны их потребителей.

Реализация угрозы возможна в случаях халатности со стороны сотрудников поставщика облачных услуг, недостаточности должностных и иных инструкций данных сотрудников, недостаточности мер по менеджменту и обеспечению безопасности облачных услуг и т. д.

Внешний нарушитель с низким потенциалом

Информационная система, сервер, носитель информации, метаданные, объекты файловой системы

Угроза незащищенного администрирования облачных услуг

Угроза заключается в возможности осуществления опосредованного деструктивного программного воздействия на часть или все информационные системы, функционирующие в облачной среде, путем перехвата управления над облачной инфраструктурой через механизмы удаленного администрирования.

Угроза обусловлена недостаточностью внимания, уделяемого контролю вводимых пользователями облачных услуг данных (в том числе аутентификационных данных), а также уязвимостями небезопасных интерфейсов обмена данными (API), используемых средствами удаленного администрирования.

Реализация угрозы возможна в случае получения нарушителем аутентификационной информации (при их вводе в общественных местах) легальных пользователей, или эксплуатации уязвимостей в средствах удаленного администрирования

Внешний нарушитель с низким потенциалом. Внутренний нарушитель с низким потенциалом

Облачная система, рабочая станция, сетевое программное обеспечение

Угроза некачественного переноса инфраструктуры в облако

Угроза заключается в возможности снижения реального уровня защищенности иммигрирующей в облако информационной системы из-за ошибок, допущенных при миграции в ходе преобразования ее реальной инфраструктуры в облачную.

Угроза обусловлена тем, что преобразование даже части инфраструктуры информационной системы в облачную зачастую требует проведения серьезных изменений в такой инфраструктуре (например, в политиках безопасности и организации сетевого обмена данными).

Реализация угрозы возможна в случае несовместимости программных и сетевых интерфейсов или несоответствий политик безопасности при осуществлении переноса информационной системы в облако

Внешний нарушитель с низким потенциалом

Информационная система, иммигрированная в облако, облачная система

Угроза неконтролируемого копирования данных внутри хранилища больших данных

Угроза заключается в сложности контроля за всеми автоматически создаваемыми копиями информации в хранилище больших данных из-за временной несогласованности данных операций.

Угроза обусловлена осуществлением дублирования (дву- или многократного) данных на различных вычислительных узлах, входящих в состав хранилища больших данных, с целью повышения скорости доступа к этим данным при большом количестве запросов чтения/записи. При этом данная операция является внутренней функцией и «непрозрачна» для конечных пользователей и администраторов хранилища больших данных.

Реализация угрозы возможна при условии недостаточности мер по контролю за автоматически создаваемыми копиями информации, применяемых в хранилище больших данных

Внутренний нарушитель с низким потенциалом

Хранилище больших данных, метаданные, защищаемые данные

Угроза неконтролируемого роста числа виртуальных машин

Угроза заключается в возможности ограничения или нарушения доступности виртуальных ресурсов для конечных потребителей облачных услуг путем случайного или несанкционированного преднамеренного создания нарушителем множества виртуальных машин.

Угроза обусловлена ограниченностью объема дискового пространства, выделенного под виртуальную инфраструктуру, и слабостями технологий контроля процесса создания виртуальных машин.

Реализация угрозы возможна при условии наличия у нарушителя прав на создание виртуальных машин в облачной инфраструктуре

Внешний нарушитель с низким потенциалом. Внутренний нарушитель с низким потенциалом

Облачная система, консоль управления облачной инфраструктурой, облачная инфраструктура

Угроза неконтролируемого роста числа зарезервированных вычислительных ресурсов

Угроза заключается в возможности отказа легальным пользователям в выделении компьютерных ресурсов после осуществления нарушителем неправомерного резервирования всех свободных компьютерных ресурсов (вычислительных ресурсов и ресурсов памяти).

Угроза обусловлена уязвимостями программного обеспечения уровня управления виртуальной инфраструктурой, реализующего функцию распределения компьютерных ресурсов между пользователями.

Реализация угрозы возможна при условии успешного осуществления нарушителем несанкционированного доступа к программному обеспечению уровня управления виртуальной инфраструктурой, реализующему функцию распределения компьютерных ресурсов между пользователями

Внешний нарушитель с низким потенциалом. Внутренний нарушитель с низким потенциалом

Информационная система, сервер

Угроза неконтролируемого уничтожения информации хранилищем больших данных

Угроза заключается в возможности удаления из хранилища некоторых обрабатываемых данных без уведомления конечного пользователя или администратора.

Угроза обусловлена слабостями механизма автоматического удаления данных, не отвечающих определенным требованиям (предельный «срок жизни» в хранилище, конечная несогласованность с другими данными, создание копии в другом месте и т. п.).

Реализация угрозы возможна при условии недостаточности реализованных в хранилище больших данных мер по контролю за автоматическим удалением данных

Внутренний нарушитель с низким потенциалом

Хранилище больших данных, метаданные, защищаемые данные

Угроза некорректного задания структуры данных транзакции

Угроза заключается в возможности совершения нарушителем (клиентом базы данных) подлога путем прерывания транзакции или подмены идентификатора транзакции. В первом случае происходит неполное выполнение транзакции, а во втором — пользователь форсированно завершает транзакцию, изменяя ее ID и сообщая о том, что транзакция не была проведена, тем самым провоцируя повторное проведение транзакции.

Угроза обусловлена слабостями механизма контроля непрерывности транзакций и целостности данных, передаваемых в ходе транзакции между базой данных и ее клиентом.

Реализация угрозы возможна в случае недостаточности контроля целостности механизмами службами СУБД

Внутренний нарушитель со средним потенциалом

Сетевой трафик, база данных, сетевое программное обеспечение

Угроза некорректного использования прозрачного прокси-сервера за счет плагинов браузера

Угроза заключается в возможности перенаправления или копирования обрабатываемых браузером данных через прозрачный прокси-сервер, подключенный к браузеру в качестве плагина.

Угроза обусловлена слабостями механизма контроля доступа к настройкам браузера.

Реализация угрозы возможна в случае успешного осуществления нарушителем включения режима использования прозрачного прокси-сервера в параметрах настройки браузера, например, в результате реализации угрозы межсайтового скриптинга

Внешний нарушитель с низким потенциалом

Сетевое программное обеспечение

Угроза некорректного использования функционала программного
и аппаратного
обеспечения

Угроза заключается в возможности использования декларированных возможностей программных и аппаратных средств определенным (нестандартным, некорректным) способом с целью деструктивного воздействия на информационную систему и обрабатываемую ею информацию.

Угроза связана со слабостями механизма обработки данных и команд, вводимых пользователями.

Реализация угрозы возможна в случае наличия у нарушителя доступа к программным и аппаратным средствам

Внешний нарушитель со средним потенциалом. Внутренний нарушитель со средним потенциалом

Системное программное обеспечение, прикладное программное обеспечение, сетевое программное обеспечение, микропрограммное обеспечение, аппаратное обеспечение

Угроза некорректной реализации политики лицензирования в облаке

Угроза заключается в возможности отказа потребителям облачных услуг в удаленном доступе к арендуемому программному обеспечению (т. е. происходит потеря доступности облачной услуги SaaS) по вине поставщика облачных услуг.

Угроза обусловлена недостаточностью проработки вопроса управления политиками лицензирования использования программного обеспечения различных производителей в облаке.

Реализация угрозы возможна при условии, что политика лицензирования использования программного обеспечения основана на ограничении количества его установок или числа его пользователей, а созданные виртуальные машины с лицензируемым программным обеспечением использованы много раз

Внешний нарушитель с низким потенциалом. Внутренний нарушитель с низким потенциалом

Системное программное обеспечение, прикладное программное обеспечение, сетевое программное обеспечение

Угроза неопределенности в распределении ответственности между ролями в облаке

Угроза заключается в возможности возникновения существенных разногласий между поставщиком и потребителем облачных услуг по вопросам, связанным с определением их прав и обязанностей в части обеспечения информационной безопасности.

Угроза обусловлена отсутствием достаточного набора мер контроля за распределением ответственности между различными ролями в части владения данными, контроля доступа, поддержки облачной инфраструктуры и т. п.

Возможность реализации угрозы повышается в случае использования облачных услуг, предоставляемых другими поставщиками (т. е. в случае использования схемы оказания облачных услуг с участием посредников)

Внешний нарушитель с низким потенциалом. Внутренний нарушитель с низким потенциалом

Системное программное обеспечение

Угроза неопределенности ответственности за обеспечение безопасности облака

Угроза заключается в возможности невыполнения ряда мер по защите информации как поставщиком облачных услуг, так и их потребителем.

Угроза обусловлена отсутствием четкого разделения ответственности в части обеспечения безопасности информации между потребителем и поставщиком облачных услуг.

Реализация угрозы возможна при условии недостаточности документального разделения сфер ответственности между сторонами, участвующими в оказании облачных услуг, а также отсутствия документального определения ответственности за несоблюдение требований безопасности

Внешний нарушитель с низким потенциалом

Облачная система

Угроза неправомерного ознакомления с защищаемой информацией

Угроза заключается в возможности неправомерного случайного или преднамеренного ознакомления пользователя с информацией, которая для него не предназначена, и дальнейшего ее использования для достижения своих или заданных ему другими лицами (организациями) деструктивных целей.

Угроза обусловлена уязвимостями средств контроля доступа, ошибками в параметрах конфигурации данных средств или отсутствием указанных средств.

Реализация угрозы не подразумевает установку и использование нарушителем специального вредоносного программного обеспечения. При этом ознакомление может быть проведено путем просмотра информации с экранов мониторов других пользователей, с отпечатанных документов, путем подслушивания разговоров и др.

Внутренний нарушитель с низким потенциалом

Аппаратное обеспечение, носители информации, объекты файловой системы

Угроза неправомерного/некорректно-го использования интерфейса взаимодействия с приложением

Угроза заключается в возможности осуществления нарушителем деструктивного программного воздействия на API в целях реализации функций, изначально не предусмотренных дискредитируемым приложением (например, использование функций отладки из состава API).

Угроза обусловлена наличием слабостей в механизме проверки входных данных и команд API, используемого программным обеспечением.

Реализация угрозы возможна в условиях наличия у нарушителя доступа к API и отсутствия у дискредитируемого приложения механизма проверки вводимых данных и команд

Внешний нарушитель со средним потенциалом. Внутренний нарушитель со средним потенциалом

Системное программное обеспечение, прикладное программное обеспечение, сетевое программное обеспечение, микропрограммное обеспечение, реестр

Угроза неправомерных действий
в каналах связи

Угроза заключается в возможности внесения нарушителем изменений в работу сетевых протоколов путем добавления или удаления данных из информационного потока с целью оказания влияния на работу дискредитируемой системы или получения доступа к конфиденциальной информации, передаваемой по каналу связи.

Угроза обусловлена слабостями сетевых протоколов, заключающимися в отсутствии проверки целостности и подлинности получаемых данных.

Реализация угрозы возможна при условии осуществления нарушителем несанкционированного доступа к сетевому трафику

Внешний нарушитель с низким потенциалом

Сетевой трафик

Угроза непрерывной модернизации облачной инфраструктуры

Угроза заключается в возможности занесения в облачную систему уязвимостей и слабостей вместе с добавлением нового программного или аппаратного обеспечения. При этом система, рассматриваемая как защищенная на этапе ввода ее